بانک مرکزی اروپا به وام‌دهندگان منطقه یورو دستور داد تا اکتبر برنامه اقدام برای ریسک سایبری ناشی از هوش مصنوعی ارائه کنند

بانک مرکزی اروپا (ECB) یک دستورالعمل بی‌سابقه را برای حدود ۱۱۰ مؤسسه مالی مهم که مستقیماً تحت نظارت آن هستند، صادر کرده است. این دستورالعمل، ارائه برنامه‌های اقدام جامع برای مقابله با تهدیدات سایبری ناشی از هوش مصنوعی را تا ۳۱ اکتبر ۲۰۲۶ الزامی می‌کند. این فرمان که در نامه‌ای رسمی با امضای کلودیا بوخ، رئیس هیئت نظارت بانک مرکزی اروپا، ابلاغ شده است، از وام‌دهندگان منطقه یورو می‌خواهد که بدون تأخیر، چشم‌انداز تهدیدات در حال تحول را ارزیابی کنند. بانک‌ها موظفند اقدامات دفاعی مشخص، تخصیص بودجه‌های معین، تعیین نقش‌های اجرایی واضح و تعریف جدول‌های زمانی دقیق برای اجرا را تشریح کنند. این اولین بار در بیش از چهار سال گذشته است که بانک مرکزی اروپا از کانال مستقیم «نامه‌نگاری به بانک‌ها» برای رسیدگی به یک تهدید خاص فناوری استفاده می‌کند، که نشان‌دهنده تشدید چشمگیر فوریت نظارتی در مورد امنیت سیستم مالی اروپا است.[1][3]

ادعای اصلی و مستند که زیربنای مداخله بانک مرکزی اروپا قرار دارد، این است که مدل‌های پیشرفته هوش مصنوعی، اقتصاد و مکانیک ریسک سایبری را به طور اساسی تغییر داده‌اند. در تأیید این موضع، هیئت ریسک سیستمی اروپا (ESRB) همزمان یک هشدار رسمی صادر کرد و ارزیابی خود از ریسک سایبری سیستمی را به سطح «شدید» ارتقا داد. تحلیل ESRB نشان می‌دهد که آخرین نسل از مدل‌های هوش مصنوعی قادرند آسیب‌پذیری‌ها را به صورت خودکار کشف کنند، کدهای بهره‌برداری (exploits) عملیاتی تولید نمایند و حملات سایبری تمام‌عیار را با سرعتی و مقیاسی اجرا کنند که بسیار فراتر از قابلیت‌های قبلی است. تنظیم‌کنندگان استدلال می‌کنند که این امر یک تغییر پارادایم در امنیت سایبری محسوب می‌شود و هوش مصنوعی را از یک ریسک نظری به یک آسیب‌پذیری فعال و سیستمی تبدیل می‌کند که شبکه‌های پرداخت و زیرساخت‌های بازار مالی را تهدید می‌کند.[2]

به نظر می‌رسد کاتالیزور فوری برای این بسیج نظارتی، استقرار و آزمایش خصوصی مدل‌های پیشرفته‌ای مانند «میتوس» (Mythos) شرکت آنتروپیک (Anthropic) باشد. گزارش‌های صنعتی و جلسات توجیهی نظارتی نشان می‌دهند که این مدل به سرعت هزاران نقص امنیتی شدید و کشف‌نشده را در سیستم‌عامل‌ها و مرورگرهای وب اصلی پیدا کرده است. این نمایش ثابت کرد که هوش مصنوعی می‌تواند به طور مؤثری پنجره زمانی سنتی را که مدافعان برای وصله کردن آسیب‌پذیری‌ها قبل از بهره‌برداری فعال به آن تکیه می‌کنند، از بین ببرد. با توجه به اینکه هوش مصنوعی موانع ورود برای بازیگران مخرب را کاهش داده و چرخه عمر حمله را تسریع می‌بخشد، بانک مرکزی اروپا به این نتیجه رسید که ضعف‌های موجود و حل‌نشده – که برخی از آن‌ها سال‌ها در شبکه‌های بانکی باقی مانده‌اند – اکنون تهدیدی قریب‌الوقوع برای تاب‌آوری عملیاتی محسوب می‌شوند.[4]

برای کاهش این جدول زمانی فشرده، دستورالعمل بانک مرکزی اروپا الزامات اصلاحی خاص و مبتنی بر شواهد را تشریح می‌کند. به بانک‌ها صراحتاً دستور داده شده است که مدیریت آسیب‌پذیری و وصله را در مقیاس وسیع تسریع بخشند و از وصله کردن صرفاً بر اساس شدت، به سمت اولویت‌بندی مبتنی بر قابلیت بهره‌برداری واقعی در دنیای واقعی حرکت کنند. علاوه بر این، مؤسسات باید سطوح حمله رو به اینترنت خود را به حداقل برسانند، فناوری‌های قدیمی که عمر مفیدشان به پایان رسیده را جایگزین کنند و نظارت بر نرم‌افزارهای شخص ثالث و اجزای منبع باز را سخت‌تر کنند. نکته حیاتی این است که بانک مرکزی اروپا مسئولیت را مستقیماً به هیئت مدیره منتقل می‌کند. این نامه تصریح می‌کند که مسئولیت در درجه اول بر عهده نهادهای مدیریتی بانک‌ها است و هشدار می‌دهد که تصمیمات تاریخی در مورد هزینه‌های فناوری، سطح کارکنان و تحمل ریسک سازمانی باید فوراً مورد بازنگری قرار گیرند.[1][3]

فراتر از آسیب‌پذیری‌های فنی فوری، هشدار ESRB یک ادعای ثانویه و ژئوپلیتیکی را در مورد آسیب‌پذیری استراتژیک اروپا برجسته می‌کند. این هیئت هشدار داد که تمرکز توسعه‌دهندگان پیشرو هوش مصنوعی پیشرفته در خارج از اتحادیه اروپا یک وابستگی استراتژیک خطرناک ایجاد می‌کند. از آنجا که زیرساخت‌های مالی اروپا به شدت به ارائه‌دهندگان هوش مصنوعی و پلتفرم‌های ابری غیر اتحادیه اروپا متکی هستند، ESRB استدلال می‌کند که این تمرکز، ریسک‌های ژئوپلیتیکی را معرفی می‌کند که نمی‌توان تنها با وصله‌های فنی آن‌ها را کاهش داد. در نتیجه، این هیئت از مقامات اروپایی خواسته است تا ظرفیت داخلی، تخصص و استقلال استراتژیک بلوک در زمینه هوش مصنوعی را برای مقابله با این عدم تعادل ساختاری گسترش دهند.[2]

جایی که شواهد نامطمئن باقی می‌ماند، این است که مؤسسات مالی قدیمی تا چه حد می‌توانند این خواسته‌های گسترده را در یک بازه زمانی چهار ماهه به طور مؤثر اجرا کنند. تحلیلگران امنیت سایبری اشاره می‌کنند که برای بانک‌های بزرگ، گلوگاه اصلی به ندرت کمبود دید نسبت به تهدید است؛ بلکه اصطکاک بوروکراتیک در اولویت‌بندی، اختلافات مالکیتی، بررسی استثناها و نگهداری سیستم‌های قدیمی است. پیشرفت‌های هوش مصنوعی این مدل عملیاتی امنیتی سنتی را از نظر ساختاری ناکافی می‌سازد. مشخص نیست که آیا یک دستور نظارتی می‌تواند با موفقیت بانک‌ها را مجبور کند که کشف ریسک را به کاهش فوری و تأیید شده آسیب‌پذیری متصل کنند، یا اینکه برنامه‌های اقدام حاصل صرفاً منجر به تولید کاغذبازی‌های انطباقی بیشتر بدون تسریع معنادار در روند اصلاح خواهند شد.

بانک مرکزی اروپا با اذعان به بار عملیاتی عظیمی که این الزامات بر دوش مؤسسات مالی می‌گذارد، امتیازات نظارتی هدفمندی را ارائه کرده است. برای آزاد کردن پهنای باند برای برنامه‌ریزی دفاع سایبری هوش مصنوعی، این نهاد نظارتی مهلت پرسشنامه سالانه جامع ریسک فناوری اطلاعات خود را از سپتامبر ۲۰۲۶ به فوریه ۲۰۲۷ تمدید می‌کند و ممکن است سایر بازرسی‌های نظارتی در محل را به صورت موردی تنظیم کند. در حالی که عدم رعایت مهلت ۳۱ اکتبر هیچ جریمه مالی فوری در پی ندارد، بانک مرکزی اروپا اعلام کرده است که یک تحلیل افقی از تمام برنامه‌های ارسالی انجام خواهد داد. ناظران قصد دارند از این داده‌ها برای شناسایی ضعف‌های مشترک صنعت، رتبه‌بندی وام‌دهندگان در مقایسه با همتایانشان و اعمال فشار مستمر بر مؤسساتی که در تاب‌آوری سایبری عقب هستند، استفاده کنند.[3]

دستورالعمل بانک مرکزی اروپا همچنین به عنوان یک سیگنال واضح عمل می‌کند که هوش مصنوعی تنها موج اول از یک چشم‌انداز گسترده‌تر و قریب‌الوقوع ریسک‌های فناورانه است. در بخش پایانی نامه، این نهاد نظارتی صراحتاً راهنمایی‌های آتی در مورد ریسک‌های سایبری ناشی از محاسبات کوانتومی را پیشاپیش اعلام می‌کند. بانک مرکزی اروپا به بانک‌ها هشدار داد که ورود نهایی کامپیوترهای کوانتومی عملی، روش‌های رمزنگاری سنتی را به خطر می‌اندازد و خاطرنشان کرد که مهاجرت به رمزنگاری پسا کوانتومی نیازمند سرمایه‌گذاری استراتژیک و مستمر است که باید فوراً آغاز شود. بانک مرکزی اروپا با مرتبط ساختن تهدیدات هوش مصنوعی و کوانتومی، بانک‌های منطقه یورو را مجبور می‌کند تا رویکردهای امنیتی واکنشی را کنار بگذارند و پیش‌بینی فناوری پیشرفته را به طور دائمی در چارچوب‌های اصلی ثبات مالی خود بگنجانند.[4]