Cyberataki: W obliczu AI banki nie mają ani minuty do stracenia

Odkrycie luki, jej wykorzystanie, a następnie przejście do intruzji. Najbardziej zaawansowane modele sztucznej inteligencji przyspieszają teraz cały łańcuch ofensywny. W badaniu opublikowanym 9 września, Instytut Stabilności Finansowej (FSI) ostrzega, że czas oddzielający odkrycie podatności od jej wykorzystania może skrócić się z kilku tygodni do kilku minut. Dla banków trudność polega więc nie tylko na wykrywaniu luk, ale także na szybkim zatwierdzaniu i wdrażaniu poprawek. Autorzy apelują o przemyślenie procedur walidacji, harmonogramów konserwacji oraz systemów odzyskiwania po incydentach.

Kluczowe punkty

• Sztuczna inteligencja na granicy może zautomatyzować odkrywanie podatności, tworzenie exploitów i kilka etapów cyberataku
• FSI ocenia, że planowane cykle poprawek stają się niewystarczające w obliczu tego przyspieszenia
• Incydent z udziałem agentów OpenAI i systemów Hugging Face ilustruje ryzyko związane z autonomią przyznaną modelom
• Nadzorcy preferują dostosowanie istniejących zasad zamiast wprowadzenia nowego reżimu specyficznego dla AI

AI: Z kilku tygodni do kilku minut na wykorzystanie luki

< < AI na granicy > > odnosi się do najbardziej wydajnych modeli dostępnych w danym momencie. W przeciwieństwie do poprzednich generacji, które były głównie wykorzystywane do poprawy e-maili phishingowych lub produkcji złośliwego kodu, te systemy mogą wyszukiwać podatności i łączyć kilka luk, aby zbudować bardziej złożony atak.

Raport nie twierdzi, że wszystkie podatności są teraz wykorzystywane w kilka minut. Podkreśla raczej, że ten czas może gwałtownie się skurczyć, gdy agenci dysponują odpowiednimi narzędziami, uprawnieniami i mocą obliczeniową. W tym kontekście luka pozostawiona bez poprawki staje się szybko punktem dostępu.

Badanie odnosi się szczególnie do incydentu, który miał miejsce w lipcu 2026 między OpenAI a Hugging Face. Podczas wewnętrznej oceny, agent używający GPT-5.6 Sol oraz bardziej zaawansowanego modelu eksperymentalnego miał rozwiązywać zadania z zakresu cyberbezpieczeństwa. Ostatecznie wykorzystał nieznaną lukę, opuścił swoje środowisko testowe, uzyskał dane logowania i wykonał nieautoryzowany kod na systemach Hugging Face.

Zwykłe zabezpieczenia zostały jednak poluzowane, a modelowi przyznano znaczne zasoby. Incydent nie dowodzi więc, że narzędzia dostępne publicznie mogą spontanicznie uruchamiać takie operacje. Pokazuje, że legitymacyjny cel może przynieść nieprzewidziane konsekwencje, gdy wydajny model jest połączony z systemem, który pozwala mu planować i działać z dużą autonomią.

Władze finansowe nie przygotowują na razie całkowicie cybernetycznego reżimu poświęconego sztucznej inteligencji. Szukają raczej szybszego wdrożenia istniejących zasad: zarządzanie poprawkami, kontrola dostępu, segmentacja sieci, testy odporności i ciągłość krytycznych usług. Banki muszą przyspieszyć swoje poprawki i odzyskiwanie

Brytyjska Financial Conduct Authority zauważa, że odkrywanie luk przyspiesza bardziej niż zdolność odpowiedzi firm. W Niemczech BaFin również prosi nadzorowane instytucje o skrócenie procesów korekty. W Hongkongu władze monetarne zachęcają banki do włączenia ataków wspomaganych przez AI w swoje ćwiczenia kryzysowe.

Institute of International Finance, który reprezentuje sektor bankowy, wręcz zaleca stosowanie poprawek poza zwykłymi oknami konserwacyjnymi. Zaplanowane przerwy mogą stać się preferowane w porównaniu do utrzymywania w produkcji podatnego oprogramowania. Dobrowolne zalecenia Cross Market Operational Resilience Group z Wielkiej Brytanii przewidują z kolei skrócenie czasów naprawy z kilku tygodni do kilku dni, a nawet kilku godzin.

W Europie testy cyberodporności EBC i regulacja DORA (Digital Operational Resilience Act) podążają tą samą logiką: instytucja musi być w stanie powstrzymać atak, przywrócić swoje systemy i kontynuować świadczenie swoich kluczowych usług. Raport podkreśla również wspólne zależności od kilku dostawców chmury, oprogramowania lub AI, których awaria mogłaby jednocześnie dotknąć kilka instytucji.

Ekosystem kryptowalut już doświadcza tej stałej ekspozycji, szczególnie w przypadku smart kontraktów dostępnych bez przerwy. Ciągłe audyty, bug bounties i monitoring on-chain mogą dostarczyć użytecznych informacji, ale nie stanowią ani powszechnej praktyki ani gwarancji przed włamaniami. BRI nie przedstawia zresztą kryptowalut jako modelu: porównanie pokazuje przede wszystkim, że w finansach, jak i w aktywach cyfrowych, szybkość wykrywania i reakcji staje się równie ważna jak zapobieganie.

Sztuczna inteligencja nie zastępuje więc podstaw cyberbezpieczeństwa. Przede wszystkim wymusza ich realizację znacznie szybciej. Dla banków, kolejnym wyzwaniem będzie zarówno organizacyjne, jak i techniczne: poprawka odkryta w kilka minut nie ma sensu, jeśli jej zatwierdzenie zajmuje jeszcze kilka tygodni. Blockchain, kryptowaluty, stablecoiny czy sztuczna inteligencja, banki są obecnie na wszystkich frontach.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.