AI znalazła bankom nowy problem. Wykrywa luki szybciej, niż sektor finansowy potrafi je naprawiać

Najbardziej zaawansowane modele sztucznej inteligencji coraz sprawniej analizują kod, konfigurację infrastruktury oraz zależności między systemami. Potrafią w krótkim czasie wykrywać słabe punkty, których znalezienie zespołowi specjalistów zajęłoby wcześniej tygodnie.

To dobra wiadomość tylko do pewnego momentu. Brytyjski Financial Conduct Authority zwraca uwagę, że w części instytucji finansowych liczba odkrywanych problemów zaczyna rosnąć szybciej niż możliwości ich weryfikowania i usuwania.

Innymi słowy: sektor finansowy otrzymał znacznie lepszy radar, ale nie zwiększył w tym samym tempie liczby mechaników zdolnych do naprawienia wykrytych usterek.

AI uruchamia lawinę alertów

FCA przeprowadził przegląd sposobów, w jakie instytucje finansowe wykorzystują najbardziej zaawansowane modele AI w cyberbezpieczeństwie. Technologia przyspiesza identyfikowanie, analizowanie i wstępne klasyfikowanie podatności, ale jednocześnie wywiera coraz większą presję na zespoły odpowiedzialne za ich usuwanie.

– Największe modele AI zmieniają tempo, skalę i sposób, w jaki podatności mogą być odkrywane i w jaki należy na nie reagować – stwierdził brytyjski regulator.

Firmy uczestniczące w przeglądzie przyznawały, że problemem przestaje być samo znajdowanie luk. Znacznie trudniejsze staje się ocenienie, które z nich są rzeczywiście groźne, ustalenie kolejności napraw oraz reagowanie na nieprzerwany strumień nowych zgłoszeń.

Co istotne, część wyników generowanych przez modele zostaje odrzucona po weryfikacji ekspertów, jednak nawet po odsianiu fałszywych alarmów liczba prawdziwych podatności potrafi przeciążyć zespoły inżynieryjne, procesy testowania poprawek i procedury zarządzania zmianą. FCA ostrzega, że próba zbyt szybkiego wdrażania aktualizacji może sama wywołać problemy operacyjne i zakłócić działanie kluczowych usług finansowych.

Największy problem mają instytucje z technologicznym bagażem

Szczególnie narażone są banki, ubezpieczyciele i inne firmy finansowe korzystające z rozbudowanych, wielokrotnie modyfikowanych systemów. Po przejęciach i fuzjach organizacje często działają na kilku generacjach infrastruktury, połączonych warstwami dodatkowych aplikacji i prowizorycznych integracji.

Niektórych starszych systemów nie da się łatwo zaktualizować. Inne obsługują tak ważne procesy, że każda ingerencja wymaga długich testów i przygotowania planu awaryjnego.

Craig Parkin, odpowiedzialny za strategię cyberbezpieczeństwa w firmie doradczej Kroll, zwraca uwagę, że napastnicy potrafią rozpocząć wykorzystywanie nowej podatności w ciągu kilku godzin, podczas gdy cykl jej usuwania w dużej organizacji nadal może trwać tygodniami lub miesiącami. W przypadku starszych systemów część słabości bywa wręcz uznawana za niemożliwą do naprawienia – wynika z jego wypowiedzi dla „Financial Times”.

AI powiększa tę dysproporcję. Przyspiesza bowiem nie tylko pracę obrońców, lecz także analizę prowadzoną przez potencjalnych napastników.

Szef Banku Anglii ostrzega przed ryzykiem systemowym

Andrew Bailey, gubernator Banku Anglii i przewodniczący Rady Stabilności Finansowej, ostrzegł ministrów finansów oraz prezesów banków centralnych państw G20, że najbardziej zaawansowane modele AI mogą zwiększyć zagrożenie dla stabilności całego systemu finansowego.

Według Baileya bezpośrednim problemem jest rosnąca zdolność modeli do autonomicznego rozwiązywania zadań oraz prowadzenia coraz bardziej zaawansowanych działań związanych z cyberbezpieczeństwem. Zaapelował do władz o stworzenie warunków do bezpiecznego udostępniania modeli, a do instytucji finansowych — o rozwijanie zdolności reagowania i odtwarzania systemów po ataku.

Rada zwróciła również uwagę na koncentrację sektora wokół wspólnych dostawców chmury i technologii. Awaria albo skuteczny atak na jednego kluczowego usługodawcę może jednocześnie dotknąć wiele banków, funduszy i operatorów infrastruktury rynkowej. 

Polskie banki też muszą przygotować się na falę podatności

Ostrzeżenie FCA dotyczy brytyjskiego rynku, ale opisany mechanizm nie kończy się na granicy Wielkiej Brytanii. Polskie instytucje finansowe korzystają z podobnych dostawców chmury, oprogramowania i infrastruktury, a część z nich również utrzymuje starsze, złożone środowiska technologiczne.

Od 17 stycznia 2025 r. banki, ubezpieczyciele, firmy inwestycyjne i inne podmioty finansowe w Unii Europejskiej podlegają rozporządzeniu DORA. Regulacja wymaga między innymi zarządzania ryzykiem teleinformatycznym, raportowania poważnych incydentów, testowania odporności cyfrowej oraz kontrolowania ryzyka związanego z zewnętrznymi dostawcami technologii.

DORA tworzy  ramy prawne, a nie dodatkowe zespoły inżynierów. Nie rozwiązuje też automatycznie problemu wieloletnich zaległości technologicznych. Jeżeli model AI ujawni setki podatności w systemach obsługujących kluczowe procesy, instytucja nadal będzie musiała zdecydować, co naprawić najpierw i jak zrobić to bez zakłócenia usług.

Europejski Urząd Nadzoru Bankowego ocenia, że ryzyko cybernetyczne, bezpieczeństwo danych i możliwe awarie ICT pozostają najważniejszymi czynnikami podnoszącymi ryzyko operacyjne europejskich banków. W raporcie z czerwca 2026 r. EBA wskazuje, że ocena tego rodzaju zagrożeń nadal rośnie.