UKNF: sektor finansowy musi być gotowy na zaawansowaną AI

W ostatnich latach ludzkość doświadczyła wybuchu popularności sztucznej inteligencji oraz związanej z nią rewolucji. Na początku 2025 roku, wraz z publikacją w sieci modelu DeepSeeka, wyścig AI znacząco przyspieszył; jak opisywaliśmy na naszych łamach, pojawiają się również oskarżenia o wykorzystywanie technologii do tworzenia własnych odpowiedników.

AI wymusza podejmowanie działań

Poza pozytywnymi możliwościami, zaawansowane modele AI (czyli Frontier AI) niosą ze sobą także zagrożenia. Jak zauważył Urząd Komisji Nadzoru Finansowego w opublikowanym w poniedziałek dokumencie, rozwój tego rodzaju narzędzi stanowi jedno z najważniejszych wyzwań dla cyberbezpieczeństwa sektora finansowego. Wskazano na automatyzację niektórych działań ofensywnych czy szybszą identyfikację podatności, o czym w czerwcu ostrzegała Europejska Rada ds. Ryzyka Systemowego.

„Choć dostrzeżone ryzyka nie są całkowicie nowe, to perspektywa znaczącego zwiększenia intensywności i skali, z jaką mogą się urzeczywistniać, uzasadnia konieczność poddania ponownej analizie strategicznych decyzji związanych z ryzykiem ICT, w tym obejmujących inwestycje w ICT, alokacje zasobów oraz ramy tolerancji ryzyka związanego z ICT” – zaznaczył UKNF.

Działania nie tylko krótkoterminowe

W związku z rosnącymi możliwościami AI, instytucja przedstawiła podmiotom rynku finansowego zalecenia, które mają odpowiedzieć na wpływ Frontier AI na cyberbezpieczeństwo. Wśród krótkoterminowych kwestii wskazano na przyspieszenie identyfikacji i obsługi podatności oraz masowego zarządzania aktualizacjami zabezpieczeń, weryfikacji adekwatności zarządzania ryzykiem stron trzecich do rozwoju modeli Frontier AI czy zwiększenie poziomu ochrony zasobów ICT dostępnych z sieci publicznych.

Jednocześnie, UKNF wskazał na konieczność rozwoju odporności cybernetycznej i operacyjnej za pomocą środków strukturalnych. Na liście znalazło się m.in. ograniczenie dostępu do krytycznych systemów wraz z ich izolacją w celu zmniejszenia obszarów ataków, stosowanie zasady secure-by-design, wzmocnienie ochrony wielowarstwowej czy uwzględnienie ryzyka nadmiernego uzależnienia od pojedynczego dostawcy.

Co istotne, Urząd zwrócił uwagę na przygotowanie planu działania przed wystąpieniem incydentu, obejmującego m.in. przeszkolenie i przygotowanie zespołów oraz testowanie planów reagowania. Dzięki temu możliwe byłoby szybkie opanowanie sytuacji i przywrócenie normalnego funkcjonowania podmiotu po wystąpieniu zagrożenia.

Kooperacja z CSIRT KNF nie powinna być pasywna

Według kolejnych rekomendacji zawartych w dokumencie, podmioty rynku finansowego powinny też przeprowadzić przegląd procesów zarządzania ryzykiem związanym z ICT, a także dostosować je do obecnego krajobrazu zagrożeń. Wskazano przy tym na uwzględnienie zagrożenia wzrostu wykrywanych podatności, czy objęcie weryfikacją procesów zarządzania podatnościami, zmianą czy ryzykiem dostawców ICT.

UKNF zalecił również korzystanie ze wsparcia zespołu CSIRT KNF, który monitoruje rozwój Frontier AI oraz powiążane zagrożenia, podatności i stosowane techniki ofensywne. Zaznaczono przy tym, że współpraca oprócz korzystania z materiałów zespołu powinna też obejmować wymianę bieżących informacji o zagrożeniach i incydentach oraz udział w inicjatywach dotyczących cyberbezpieczeństwa.