BIS: l’AI di frontiera amplia le minacce cyber per il settore finanziario
La Bank for International Settlements (BIS), attraverso il Financial Stability Institute (FSI), ha pubblicato il paper “When machines attack: frontier AI cyber threats and policy responses in the financial sector”, dedicato all’impatto dei modelli di intelligenza artificiale di frontiera sull’evoluzione delle minacce informatiche nel settore finanziario.
Secondo la BIS, questi sistemi rappresentano un elemento di discontinuità rispetto alle precedenti generazioni di AI.
I modelli più avanzati possono infatti individuare autonomamente vulnerabilità critiche, sviluppare exploit efficaci e condurre operazioni cyber articolate in più fasi. Ciò riduce le competenze tecniche, il tempo e le risorse necessari per realizzare attacchi sofisticati.
Il rischio riguarda non soltanto la maggiore capacità offensiva degli attaccanti, ma anche la crescente dipendenza del settore finanziario da un numero limitato di fornitori di cloud, software e modelli di AI di frontiera.
Tale concentrazione può determinare rischi sistemici. Un’interruzione del servizio o una decisione adottata da un singolo provider potrebbe infatti produrre effetti a cascata su più intermediari e giurisdizioni.
La BIS evidenzia inoltre che l’AI può aumentare la velocità e la portata delle attività di identificazione delle vulnerabilità, rendendo più difficile per le istituzioni finanziarie mantenere un adeguato livello di resilienza.
Sul piano regolamentare e di vigilanza, il paper rileva una convergenza verso un approccio pragmatico. Le autorità non sembrano orientate, almeno nell’immediato, alla creazione di nuovi regimi specificamente dedicati ai rischi cyber derivanti dall’AI.
L’obiettivo è piuttosto rafforzare e adattare i framework già esistenti in materia di gestione del rischio informatico e resilienza operativa. Particolare rilievo assumono la governance, la capacità di assumere decisioni tempestive, l’accelerazione dei processi di patching e il rafforzamento delle capacità di risposta, contenimento, ripristino e recupero.
La BIS sottolinea, quindi, che l’AI di frontiera non modifica i fondamenti della cyber resilience, ma aumenta significativamente la velocità e l’intensità con cui i presìdi esistenti devono essere applicati.
Per il settore finanziario diventa pertanto essenziale integrare i nuovi scenari di rischio nei sistemi di governance e di gestione del rischio ICT, valutando anche le dipendenze da fornitori tecnologici critici e i possibili effetti di concentrazione.
Il documento conferma così la necessità di un approccio coordinato tra autorità, intermediari finanziari e fornitori tecnologici. La resilienza cyber dovrà essere rafforzata non soltanto attraverso misure tecniche, ma anche mediante adeguati presìdi organizzativi, procedure di gestione delle crisi e sistemi di supervisione coerenti con l’evoluzione delle capacità dell’intelligenza artificiale.