国际清算银行（BIS）发布的一篇新论文警告称，先进人工智能正在压缩银行在攻击者利用软件漏洞前进行修复的时间。

周三发布的金融稳定研究所（Financial Stability Institute）论文补充了近期AI开发人员和金融监管机构发出的警告，即能力日益增强的模型正在加速网络攻击。该新报告的重点是银行的响应能力，作者认为机构必须加快软件修复的速度以及授权这些修复的决策过程。

“前沿人工智能带来的最重大发展是自主漏洞发现和利用，”作者写道，并警告称周期性安全评估和计划性补丁修补日益不足。“从发现漏洞到被利用的时间窗口已从数周缩短至数分钟。”

论文引用了英国金融行为监管局（FCA）的一项审查结果，发现漏洞发现速度已超过企业的响应能力，同时国际清算银行协会（IIF）的指导方针敦促加快补丁修补速度——即使是在计划维护窗口之外——并更大程度地接受计划内的停机时间。

根据该论文，英国跨市场业务弹性小组（Cross Market Operational Resilience Group）发布的另一项自愿性指导方针预计，修复时间将从数周缩短至数天，在某些情况下甚至缩短至数小时。

虽然报告中提到的时间表是自愿性的，但监管机构正推动银行采取更快的行动：德国联邦金融监管局（BaFin）呼吁加快补丁修补，而香港金管局则敦促加强漏洞响应和恢复能力。

报告称：“例如，香港金融管理局鼓励机构将基于人工智能的网络场景整合到业务弹性计划中，并提升事件响应和恢复能力，认识到随着网络威胁格局的不断演变，‘突破’场景的发生概率可能会增加。”“同样，欧洲中央银行（ECB）的网络弹性压力测试计划以及《数字运营弹性法案》（DORA）的实施，强调机构不仅要能够承受网络攻击，还要能够在严重的运营中断期间继续提供关键服务。”

这一警告紧随OpenAI、Anthropic及100多家其他组织在8月份发出的关于加强网络防御的呼吁之后。签署方建议加强访问控制、威胁共享以及对AI代理的更紧密监管。

BIS论文以涉及OpenAI模型的Hugging Face入侵事件为例，作为测试中展示的能力可转化为对实际系统攻击的初步证据。OpenAI后来描述了其代理人在行动中的协调方式。

虽然作者警告称，正常的安全保障措施当时已被放松，且提供了大量的计算资源，但他们表示，该事件并不能直接反映公开可用的AI工具所带来的风险。

“OpenAI事件并不意味着前沿AI模型可以自主产生恶意目标。然而，它们可能会追求一个狭义定义的任务，并产生无意且有害的后果，”他们写道。“这一发展对网络弹性的意义在于，将强大的模型与能够使其规划、使用工具和自主行动的周围软件系统相结合。”

来源：https://decrypt.co/377902/ai-hacks-shrinking-bank-time-fix-flaws-bis