هشدار هیئت ریسک سیستمیک اروپا: قابلیت‌های سایبری هوش مصنوعی پیشرفته، تهدیدی سیستمیک برای نظام مالی اتحادیه اروپا هستند

نهادهای نظارتی ارشد مالی اتحادیه اروپا یک تلاش هماهنگ و گسترده را برای تقویت بخش بانکی قاره در برابر نسل جدیدی از هوش مصنوعی آغاز کرده‌اند. روز سه‌شنبه، هیئت ریسک سیستمیک اروپا (ESRB) یک هشدار رسمی بی‌سابقه صادر کرد مبنی بر اینکه «مدل‌های هوش مصنوعی پیشرفته» اکنون یک ریسک سایبری سیستمیک برای نظام مالی جهانی ایجاد می‌کنند. همزمان، بانک مرکزی اروپا (ECB) دستورالعمل سختگیرانه‌ای را به مدیران عامل بانک‌های بزرگ منطقه یورو ابلاغ کرد و به آنها تا ۳۱ اکتبر (۹ آبان) مهلت داد تا برنامه‌های جامع خود را برای مقابله با تهدیدات سایبری مبتنی بر هوش مصنوعی ارائه دهند. این اعلامیه‌های هماهنگ، نشان‌دهنده تهاجمی‌ترین موضع نظارتی است که تاکنون توسط هر حوزه قضایی جهانی در مورد تلاقی هوش مصنوعی پیشرفته و امنیت سایبری مالی اتخاذ شده و موضع‌گیری را از نگرانی نظری به آمادگی عملیاتی اجباری تغییر می‌دهد.[1][2][3]

فوریت این اقدام ناشی از یک تغییر پارادایم اساسی در نحوه اجرای حملات سایبری است. از لحاظ تاریخی، کشف آسیب‌پذیری‌های نرم‌افزاری و ایجاد حملات مخرب نیازمند هکرهای انسانی بسیار ماهر بود که هفته‌ها یا ماه‌ها صرف بررسی یک شبکه می‌کردند. مدل‌های هوش مصنوعی پیشرفته – پیشرفته‌ترین سیستم‌های توسعه‌یافته توسط شرکت‌های فناوری پیشرو – در حال نشان دادن توانایی خودکارسازی کل این فرآیند هستند. طبق ارزیابی ESRB، این مدل‌ها می‌توانند به طور خودکار معماری‌های گسترده را اسکن کنند، آسیب‌پذیری‌های روز صفر (Zero-Day) را شناسایی کنند و حملات فعال را با سرعت ماشین تولید کنند.[1][4][7]

این قابلیت به شدت بازه زمانی بین کشف یک نقص امنیتی و تبدیل آن به سلاح را فشرده می‌کند. در گذشته، فروشندگان نرم‌افزار و بخش‌های فناوری اطلاعات بانک‌ها اغلب چند روز یا چند هفته فرصت داشتند تا قبل از اینکه یک آسیب‌پذیری به طور گسترده مورد سوءاستفاده قرار گیرد، یک وصله (Patch) توسعه داده و مستقر کنند. هوش مصنوعی آن پنجره را به ساعت‌ها یا حتی دقیقه‌ها کاهش می‌دهد و عملاً هیچ زمانی برای مدافعان انسانی باقی نمی‌گذارد تا قبل از وقوع نفوذ واکنش نشان دهند. این فشرده‌سازی زمان، استراتژی‌های سنتی مدیریت وصله را به طور اساسی مختل می‌کند.[1][4]

مکانیسم‌های این حملات مبتنی بر هوش مصنوعی، با جرایم سایبری سنتی متفاوت است. مدل‌های پیشرفته به جای تکیه بر امضاهای بدافزاری ثابت یا حملات شناخته‌شده، می‌توانند در حل مسئله پویا و تکراری شرکت کنند. اگر تلاش اولیه برای نفوذ شکست بخورد، هوش مصنوعی می‌تواند رد شدن را تحلیل کند، رویکرد خود را تغییر دهد و یک بردار حمله جدید و متناسب را در عرض چند ثانیه راه‌اندازی کند. این قابلیت به بازیگران تهدید اجازه می‌دهد تا کمپین‌های بسیار پیچیده و چندمرحله‌ای را انجام دهند که رفتار گروه‌های تهدید پیشرفته و مداوم (APT) را تقلید می‌کنند، اما با کسری از هزینه و با فراوانی بسیار بیشتر.[1][4]

آنچه ریسک را تشدید می‌کند، دموکراتیک شدن این قابلیت‌ها است. در حالی که پیشرفته‌ترین مدل‌های هوش مصنوعی توسط غول‌های فناوری با منابع کافی توسعه داده شده و به شدت محافظت می‌شوند، گسترش جایگزین‌های متن‌باز و مدل‌های «جیل‌بریک‌شده» به این معنی است که قابلیت‌های سایبری پیچیده به طور فزاینده‌ای برای بازیگران مخرب کم‌مهارت‌تر نیز قابل دسترسی است. ESRB اشاره کرد که این امر مانع ورود به جرایم سایبری را کاهش می‌دهد و به طور بالقوه بخش مالی را با حجم عظیمی از حملات که می‌تواند مراکز عملیات امنیتی سنتی و انسان‌محور را تحت فشار قرار دهد، غرق می‌کند.[1][7]

برای بخش مالی، این حجم و سرعت نشان‌دهنده یک آسیب‌پذیری حیاتی است. بانک‌ها به سیستم‌های فناوری اطلاعات و ارتباطات (ICT) بسیار به هم پیوسته متکی هستند و اغلب از ارائه‌دهندگان نرم‌افزارهای شخص ثالث و اجزای متن‌باز مشترک استفاده می‌کنند. ESRB هشدار داد که یک حمله تولید شده توسط هوش مصنوعی که یک ارائه‌دهنده فناوری مشترک را هدف قرار دهد، می‌تواند به سرعت در سراسر مرزها گسترش یابد. اگر حوادث سایبری در زیرساخت‌های حیاتی – مانند اتاق‌های پایاپای پرداخت یا سیستم‌های تسویه – گسترش یابند، می‌توانند کل اکوسیستم مالی را به شدت شوکه کنند. در بدترین حالت، اختلالات سایبری در مقیاس بزرگ می‌تواند اعتماد عمومی را از بین ببرد، باعث هجوم بانکی شود و از شکست‌های فناوری اطلاعات مجزا به یک بحران ساختاری تمام‌عیار تبدیل شود.[1][4][5]

برای جلوگیری از این سناریو، کلودیا بوخ، سرپرست ارشد ECB، خواسته‌های خاص و دستوری را برای بخش بانکی ترسیم کرد. اکنون از وام‌دهندگان خواسته می‌شود که حفاظت از سیستم‌های رو به اینترنت و دارایی‌های فناوری در معرض دید را که به عنوان نقاط ورودی اصلی برای کاوشگرهای خودکار هوش مصنوعی عمل می‌کنند، در اولویت قرار دهند. ECB همچنین خواستار تسریع فرآیندهای مدیریت وصله بانک‌ها شده است، زیرا اذعان دارد که چرخه سنتی اعمال به‌روزرسانی‌های امنیتی در طول چند هفته دیگر در برابر تهدیدات مبتنی بر هوش مصنوعی قابل اجرا نیست. علاوه بر این، مؤسسات باید فناوری‌های قدیمی خود را که فاقد معماری لازم برای پشتیبانی از مکانیسم‌های دفاعی خودکار و بلادرنگ هستند، مدرن‌سازی کنند.[2][3][6]

مبنای نظارتی برای این دستورالعمل‌های جدید در قانون تاب‌آوری عملیاتی دیجیتال اتحادیه اروپا (DORA) ریشه دارد که در اوایل سال ۲۰۲۵ به طور کامل اجرایی می‌شود. برخلاف مقررات قبلی که عمدتاً بر الزامات سرمایه متمرکز بودند، DORA حکم می‌کند که مؤسسات مالی ثابت کنند که می‌توانند در برابر اختلالات شدید فناوری اطلاعات و ارتباطات مقاومت کنند، به آنها پاسخ دهند و از آنها بازیابی شوند. مقامات نظارتی اروپا – شامل EBA، EIOPA و ESMA – علناً از هشدار ESRB حمایت کردند و به صراحت تهدیدات جدید هوش مصنوعی را به الزامات انطباق DORA مرتبط دانستند. آنها از نهادهای مالی خواستند که قابلیت‌های خود را فوراً تطبیق دهند و خاطرنشان کردند که سرعت و مقیاس هوش مصنوعی پیشرفته مستقیماً استانداردهای تاب‌آوری عملیاتی را که DORA به دنبال اجرای آنها است، به چالش می‌کشد.[6][8]

یکی از ستون‌های اصلی چارچوب DORA، و تمرکز کلیدی دستورالعمل جدید ECB، مدیریت ریسک شخص ثالث است. بانک‌های مدرن به ندرت کل پشته‌های نرم‌افزاری خود را از ابتدا می‌سازند؛ آنها به شبکه‌ای پیچیده از ارائه‌دهندگان خدمات ابری، فروشندگان نرم‌افزارهای مالی تخصصی و کتابخانه‌های متن‌باز متکی هستند. مقامات نظارتی اروپا تأکید کردند که به عنوان ناظران ارائه‌دهندگان حیاتی شخص ثالث ICT، آنها فعالانه با این فروشندگان خارجی درگیر هستند تا آمادگی آنها در برابر هوش مصنوعی را ارزیابی کنند. یک آسیب‌پذیری در یک پلتفرم ابری یا ابزار تحلیل داده که به طور گسترده استفاده می‌شود، می‌تواند به عنوان یک در پشتی برای ده‌ها بانک به طور همزمان عمل کند، که این امر ممیزی شخص ثالث را به یک جزء حیاتی از برنامه‌های دفاعی ۳۱ اکتبر تبدیل می‌کند.[3][6]

مقامات ملی در سراسر قاره، این دستورالعمل را تقویت کردند و تأکید کردند که تحولات سریع فناوری، خواسته‌های بی‌سابقه‌ای را بر مؤسسات تحمیل می‌کند. بانک مرکزی سوئد (Riksbank) و بانک مرکزی نروژ (Norges Bank) هر دو بیانیه‌هایی در حمایت از ESRB صادر کردند و بر نیاز به گفتگوی مستمر با مؤسسات مالی برای اطمینان از ظرفیت آنها برای مدیریت این ریسک‌ها تأکید کردند. آنها خاطرنشان کردند که حفظ حاکمیت مؤثر بر سیستم‌های داخلی و عملیات ICT برون‌سپاری شده دیگر صرفاً یک مسئله فناوری اطلاعات نیست، بلکه یک جزء اصلی ثبات مالی ملی است.[5][8]

فراتر از تهدیدات فنی فوری، هشدار ESRB یک نگرانی ژئوپلیتیکی گسترده‌تر را برجسته کرد: وابستگی استراتژیک. اکثریت قریب به اتفاق ارائه‌دهندگان پیشرو هوش مصنوعی پیشرفته در خارج از اتحادیه اروپا، عمدتاً در ایالات متحده و چین، مستقر هستند. این هیئت هشدار داد که این تمرکز، اتحادیه اروپا را در معرض ریسک‌های قابل توجه زنجیره تأمین و ژئوپلیتیکی قرار می‌دهد. اگر بانک‌های اروپایی مجبور باشند برای دفاع از شبکه‌های خود به مدل‌های هوش مصنوعی توسعه‌یافته خارجی تکیه کنند، در برابر تغییرات ناگهانی در دسترسی، کنترل‌های صادراتی یا اختلافات بین‌المللی آسیب‌پذیر باقی می‌مانند. در پاسخ، ESRB از اتحادیه اروپا خواست تا ظرفیت داخلی، تخصص و استقلال استراتژیک خود را در حوزه امنیت سایبری به شدت افزایش دهد.[1][7]

رویکرد بسیار دستوری اتحادیه اروپا در تضاد شدید با موضع اتخاذ شده توسط سایر مراکز مالی بزرگ جهانی است. در حالی که اتحادیه اروپا در حال صدور ضرب‌الاجل‌های سخت و دستورالعمل‌های برنامه‌ریزی اجباری است، فدرال رزرو ایالات متحده و بانک انگلستان تاکنون رویکردی ملایم‌تر را ترجیح داده‌اند. در ارتباطات جداگانه، مقامات هر دو نهاد تمایل خود را به راهنمایی‌های داوطلبانه و گفتگوی نظارتی مستمر به جای احکام سختگیرانه نشان دادند. به ویژه بانک انگلستان خاطرنشان کرد که در حال حاضر مقررات جدیدی را به طور خاص برای هدف قرار دادن تهدیدات سایبری هوش مصنوعی صادر نمی‌کند و ترجیح می‌دهد مدیریت ریسک هوش مصنوعی را در چارچوب‌های تاب‌آوری عملیاتی موجود ادغام کند.[2]

این شکاف فراآتلانتیکی، بحث جهانی جاری در مورد بهترین راه برای تنظیم چشم‌انداز هوش مصنوعی که به سرعت در حال تحول است را برجسته می‌کند. طرفداران رویکرد اتحادیه اروپا استدلال می‌کنند که سرعت بی‌سابقه توسعه هوش مصنوعی نیازمند مداخله نظارتی به همان اندازه سریع و قاطع برای جلوگیری از شکست‌های سیستمیک است. در مقابل، منتقدان دستورالعمل‌های دستوری پیشنهاد می‌کنند که قوانین بیش از حد سختگیرانه ممکن است بانک‌ها را مجبور به انجام تمرین‌های انطباقی کند که با تغییر فناوری به سرعت منسوخ می‌شوند و به طور بالقوه نوآوری را خفه کرده و منابع را از دفاعیات چابک و تهدیدمحور منحرف می‌کنند.[2][4]

با وجود هشدارهای شدید کوتاه‌مدت، ارزیابی ESRB یک چشم‌انداز بلندمدت متمایزاً خوش‌بینانه ارائه داد. این هیئت خاطرنشان کرد که در حالی که مدل‌های هوش مصنوعی پیشرفته در حال حاضر با فعال کردن کشف سریع‌تر آسیب‌پذیری‌ها، مزیت نامتقارنی را برای بازیگران تهدید فراهم می‌کنند، انتظار می‌رود این پویایی در نهایت تغییر کند. با ادغام همین مدل‌های پیشرفته در عملیات امنیتی خود مؤسسات مالی، هوش مصنوعی به ابزار دفاعی نهایی تبدیل خواهد شد. سیستم‌های هوش مصنوعی دفاعی قادر خواهند بود به طور خودکار شبکه یک بانک را اسکن کنند، بردارهای حمله را پیش‌بینی کنند و اقدامات متقابل بلادرنگ را با همان سرعت ماشینی که توسط مهاجمان استفاده می‌شود، مستقر کنند و در نهایت منجر به یک اکوسیستم مالی بسیار تاب‌آورتر شوند.[1][5][7]

چالش کنونی برای نظام مالی جهانی، بقا در دوره گذار است. چند سال آینده نشان‌دهنده یک مسابقه پرمخاطره بین قابلیت‌های هوش مصنوعی تهاجمی و استقرار اقدامات متقابل هوش مصنوعی دفاعی است. اتحادیه اروپا با مجبور کردن بانک‌ها به مدرن‌سازی زیرساخت‌های خود، تسریع چرخه‌های وصله‌گذاری و ترسیم وابستگی‌های شخص ثالث خود در حال حاضر، تلاش می‌کند تا شکاف آسیب‌پذیری را به طور مصنوعی ببندد. ضرب‌الاجل ۳۱ اکتبر به عنوان یک عامل اجباری عمل می‌کند و تضمین می‌کند که وقتی ابزارهای هوش مصنوعی دفاعی به طور کامل بالغ شوند، مؤسسات مالی قاره دارای معماری مدرن مورد نیاز برای استقرار مؤثر آنها خواهند بود.[2][3][4]