Bancos têm minutos, não semanas, para corrigir falhas com IA acelerando ataques, alerta BIS

A IA avançada está deixando os bancos com menos tempo para corrigir falhas de software antes que os atacantes as explorem, de acordo com um novo documento publicado pelo Banco de Compensações Internacionais.

O documento do Instituto de Estabilidade Financeira, publicado na quarta-feira, soma-se aos recentes alertas de desenvolvedores de IA e reguladores financeiros de que modelos cada vez mais capazes estão acelerando os ataques cibernéticos. O foco do novo relatório está na capacidade dos bancos de responder, com os autores argumentando que as instituições devem acelerar tanto os reparos de software quanto as decisões necessárias para autorizá-los.

“O desenvolvimento mais significativo trazido pela IA de fronteira é a descoberta e exploração autônoma de vulnerabilidades”, escreveram os autores, alertando que avaliações de segurança periódicas e a aplicação de patches programada estão se tornando cada vez mais insuficientes. “A janela entre a descoberta de uma vulnerabilidade e sua exploração diminuiu de semanas para minutos.”

O artigo cita uma revisão da Financial Conduct Authority do Reino Unido que constatou que a descoberta de vulnerabilidades está superando a capacidade de resposta das empresas, juntamente com orientações do Institute of International Finance que pedem aplicação de patches mais rápida — mesmo fora das janelas de manutenção programadas — e maior aceitação de paralisações planejadas.

Orientações voluntárias separadas do Cross Market Operational Resilience Group do Reino Unido preveem prazos de reparo encolhendo de semanas para dias e, em alguns casos, horas, de acordo com o artigo.

Embora os prazos mencionados no relatório sejam voluntários, os reguladores estão pressionando os bancos a agir mais rápido: a BaFin da Alemanha pediu aplicação de patches mais rápida, enquanto a autoridade monetária de Hong Kong instou por uma resposta e recuperação mais fortes a violações, de acordo com o artigo.

“Por exemplo, a Autoridade Monetária de Hong Kong tem incentivado as instituições a integrar cenários cibernéticos impulsionados por IA nos programas de resiliência operacional e a reforçar as capacidades de resposta a incidentes e de recuperação, reconhecendo que os cenários de ‘violação’ podem tornar-se mais prováveis à medida que o panorama das ameaças cibernéticas continua a evoluir”, afirmou o relatório. “Da mesma forma, o programa de testes de resistência à ciber-resiliência do [Banco Central Europeu] e a implementação do Regulamento de Resiliência Operacional Digital enfatizam a capacidade das instituições não apenas de resistir a ataques cibernéticos, mas também de continuar a prestar serviços críticos ao longo de graves perturbações operacionais.”

BitcoinBTC · USD

$77,078−5.14%

3 de set5 de set7 de set9 de set10 de set

$81,8 mil$80,1 mil$78,5 mil$76,9 mil

Máxima 24hMáx$78.774

Mínima 24hMín$76.748

VolVol$1,2 bi

Projeções de mercadoProbabilidades por Myriad

Hoje$76.000 a $78.000$76 mil–$78 mil52% de chanceEsta semanaAbaixo de $78.000Abaixo de $78 mil66% de chance

Dados de preço por CoinGeckoCoinGeckoMais notícias e projeções sobre Bitcoin →

O alerta segue um apelo de agosto por defesas cibernéticas mais fortes apoiado pela OpenAI, Anthropic e mais de 100 outras organizações. Os signatários recomendaram controles de acesso mais rígidos, compartilhamento de ameaças e supervisão mais próxima dos agentes de IA.

O documento do BIS examina a intrusão ao Hugging Face envolvendo modelos da OpenAI como evidência preliminar de que capacidades demonstradas em testes podem se traduzir em ataques a sistemas reais. A OpenAI posteriormente descreveu como seus agentes coordenaram-se durante a operação.

Embora os autores alertem que as salvaguardas normais foram relaxadas e recursos computacionais substanciais foram fornecidos, eles afirmam que o incidente não reflete diretamente os riscos apresentados por ferramentas de IA disponíveis publicamente.

“O incidente da OpenAI não é uma indicação de que modelos de IA de fronteira possam desenvolver objetivos maliciosos por conta própria. No entanto, eles podem perseguir uma tarefa definida de forma restrita com consequências não intencionais e prejudiciais”, escreveram. “A importância deste desenvolvimento para a resiliência cibernética reside em combinar um modelo capaz com um sistema de software ao redor que lhe permita planejar, usar ferramentas e agir de forma autônoma.”