Un paper del Financial Stability Institute analizza le capacità dei modelli più avanzati e le risposte delle autorità finanziarie. Le priorità sono aggiornamenti più rapidi, continuità dei servizi critici e controllo delle dipendenze tecnologiche. Per gli agenti autonomi servono anche limiti operativi, registrazioni delle attività e possibilità di intervento umano.

L’intelligenza artificiale più avanzata modifica il rischio informatico soprattutto attraverso velocità, scala e autonomia. I modelli di frontiera possono individuare vulnerabilità, trasformarle in strumenti di attacco e concatenare operazioni complesse, riducendo competenze, tempo e risorse necessari agli aggressori. Per il comparto finanziario, la conseguenza principale è una compressione dei tempi disponibili per correggere le debolezze, contenere le intrusioni e ripristinare i servizi.

È il quadro delineato da Juan Carlos Crisanto, Adrien Currat e Jeffery Yong nell’Occasional Paper n. 28 del Financial Stability Institute, pubblicato dalla Banca dei regolamenti internazionali nel settembre 2026: «When machines attack: frontier AI cyber threats and policy responses in the financial sector». La risposta individuata nello studio non consiste principalmente nella creazione di nuovi regimi prudenziali dedicati all’AI. Le autorità esaminate tendono invece a rafforzare l’attuazione dei presidi esistenti di sicurezza informatica e resilienza operativa, chiedendo di applicarli con maggiore rapidità e continuità.

Le generazioni precedenti di AI supportavano soprattutto attività circoscritte: preparazione di messaggi di phishing, analisi di documentazione tecnica o sviluppo di codice. Il salto descritto dal paper riguarda la capacità dei modelli più avanzati di individuare e combinare vulnerabilità, pianificare più passaggi e utilizzare strumenti con un intervento umano più limitato. Questa evoluzione non elimina l’importanza delle debolezze tradizionali. Software non aggiornato, autenticazione insufficiente, configurazioni errate e riutilizzo delle credenziali continuano a offrire opportunità di accesso. L’AI può però consentire di sfruttarle più rapidamente e su un numero maggiore di obiettivi.

Il documento richiama dati CrowdStrike secondo i quali gli attacchi abilitati dall’AI sono aumentati dell’89% nel 2025. Nella stessa fonte, il tempo medio di breakout delle operazioni di criminalità informatica è sceso a 29 minuti: si tratta dell’intervallo necessario per spostarsi dal punto iniziale di compromissione ad altri sistemi della rete, non della durata complessiva dell’attacco. Sono dati sul panorama delle minacce richiamati dal paper, non misure riferite esclusivamente al settore finanziario.

Vulnerabilità e aggiornamenti: la distanza tra scoperta e sfruttamento si restringe

Uno dei principali elementi di pressione riguarda la gestione delle vulnerabilità. Se gli aggressori possono trasformare più rapidamente una debolezza in un attacco funzionante, le verifiche periodiche e i cicli di aggiornamento programmati possono non essere sufficienti.

Secondo il rapporto Verizon Business citato nello studio, lo sfruttamento delle vulnerabilità rappresenta il 31% dei vettori iniziali di accesso nelle violazioni analizzate, contro il 13% dell’abuso di credenziali. La stessa fonte indica che nel 2025 le organizzazioni hanno completamente corretto soltanto il 26% delle vulnerabilità critiche considerate secondo la classificazione CISA, rispetto al 38% dell’anno precedente. Anche queste percentuali riguardano il campione della fonte citata e non costituiscono statistiche specifiche su banche e assicurazioni.

La priorità operativa diventa quindi ridurre il tempo tra identificazione, valutazione e applicazione delle correzioni. Il paper richiama anche la possibilità di intervenire fuori dalle consuete finestre di manutenzione: una sospensione pianificata può essere preferibile al mantenimento in esercizio di un sistema esposto a una vulnerabilità rapidamente sfruttabile.

I test mostrano progressi, ma non dimostrano l’invulnerabilità degli attaccanti

Lo studio dedica attenzione ai limiti delle prove utilizzate per valutare le capacità offensive dell’AI. Le esercitazioni capture-the-flag misurano competenze tecniche specifiche in ambienti controllati, ma non riproducono necessariamente la complessità di un’intrusione reale, nella quale occorre concatenare molti passaggi ed evitare il rilevamento.

Nei test su reti simulate esaminati dal paper, alcuni modelli sono riusciti a completare autonomamente sequenze articolate di attacco. Tuttavia, questi ambienti non comprendevano difensori attivi, sistemi di rilevamento pienamente realistici o penalizzazioni adeguate per azioni che avrebbero normalmente generato un allarme. Contenevano inoltre meno sistemi, utenti e file di una rete aziendale reale.

I risultati non provano pertanto che i modelli possano compromettere autonomamente qualsiasi infrastruttura ben difesa. Mostrano però capacità crescenti contro sistemi aziendali piccoli, vulnerabili e debolmente protetti, una volta ottenuto l’accesso alla rete.

Anche la trasformazione di vulnerabilità note in attacchi funzionanti resta tutt’altro che automatica. Nel benchmark ExploitGym, basato su 898 casi, i modelli con i risultati migliori riportati nello studio hanno prodotto exploit funzionanti nel 17% e nel 13% delle prove. Queste percentuali misurano l’esito delle specifiche attività del benchmark, non la probabilità di violazione di un’impresa.

Il rischio va valutato sull’intero sistema AI

Il paper distingue il modello dall’ambiente operativo nel quale viene inserito. Un modello collegato a strumenti, dati e sistemi esterni, dotato di permessi e lasciato agire per periodi prolungati, può assumere un profilo di rischio diverso da quello dello stesso modello utilizzato per rispondere a richieste isolate.

Il problema non richiede necessariamente che l’AI sviluppi autonomamente un intento malevolo. Un agente può perseguire un obiettivo legittimo attraverso azioni non previste, oltrepassando confini di sicurezza o coinvolgendo sistemi di terzi. Per gli intermediari finanziari, la valutazione deve quindi comprendere accessi, strumenti disponibili, durata dell’esecuzione e possibilità effettiva di supervisione.

Tra i presidi richiamati figurano inventari dei sistemi AI, registri dettagliati delle attività, autorizzazioni limitate al necessario e approvazione umana per le azioni ad alto impatto. Le registrazioni dovrebbero consentire di ricostruire non soltanto il risultato finale, ma anche i passaggi intermedi, gli strumenti utilizzati e i dati e sistemi consultati. Devono inoltre esistere modalità affidabili per fermare l’agente, limitarne l’operatività o restituire il controllo a una persona.

Per le assicurazioni, continuità e tolleranza alle interruzioni

Nel confronto tra standard internazionali, il documento richiama le indicazioni IAIS sulla resilienza operativa degli assicuratori. Il consiglio di amministrazione è chiamato a definire strategia, cultura del rischio e propensione al rischio, approvare l’elenco dei servizi critici e assicurare risorse adeguate. Al management spetta attuare il quadro organizzativo, attribuire responsabilità chiare e integrarlo nelle tre linee di difesa.

I presidi comprendono la definizione delle tolleranze di impatto, ossia dei livelli massimi accettabili di interruzione, la gestione degli aggiornamenti e degli accessi, la formazione del personale e verifiche periodiche della capacità di resistere agli incidenti. Sono inoltre richiesti inventari aggiornati dei servizi critici e delle interdipendenze, inclusi i collegamenti con i fornitori esterni.

La capacità di risposta non si esaurisce nella difesa preventiva. Deve includere procedure di identificazione, valutazione, segnalazione ed escalation degli incidenti, comunicazione di crisi e piani di continuità che comprendano anche le terze parti.

Fornitori comuni e rischio di propagazione

La dipendenza da un numero ristretto di operatori cloud, fornitori software e sviluppatori di AI può trasformare un problema presso un singolo soggetto in un’interruzione simultanea per più intermediari e giurisdizioni. L’esposizione riguarda quindi sia la sicurezza del singolo fornitore sia le concentrazioni e le dipendenze condivise lungo la catena tecnologica.

Il paper segnala anche il rischio legato all’accesso transfrontaliero: decisioni regolamentari adottate all’estero possono limitare la disponibilità di servizi AI diventati essenziali per processi aziendali. La continuità deve quindi essere valutata anche rispetto a scenari diversi da un attacco informatico.

Gli strumenti indicati comprendono la mappatura dei fornitori critici e dei subfornitori, diritti contrattuali di informazione e verifica, test congiunti, alternative operative e strategie di uscita credibili. La portabilità dei dati e la possibilità di ricorrere a procedure manuali possono concorrere alla continuità dei servizi.

L’AI può rafforzare anche la difesa

Le stesse capacità che agevolano gli aggressori possono supportare la protezione: individuazione delle vulnerabilità, analisi di grandi quantità di dati di sicurezza, rilevamento delle anomalie, aggiornamento delle informazioni sulle minacce e accelerazione della risposta agli incidenti.

Gli autori avvertono però che gli strumenti avanzati non sostituiscono i fondamenti della sicurezza. Le organizzazioni che hanno investito insufficientemente in inventari, aggiornamenti, gestione delle identità e segmentazione delle reti non possono aspettarsi che l’AI compensi automaticamente queste carenze.

La risposta delle autorità: eseguire più rapidamente i controlli già previsti

Dall’esame delle iniziative in diverse giurisdizioni emerge una convergenza su quattro ambiti: governance, protezione, rilevamento, risposta e ripristino. A questi si affiancano proporzionalità, controllo delle terze parti, condivisione delle informazioni e collaborazione pubblico-privata. Il paper è un’analisi di tali orientamenti, non introduce direttamente nuovi obblighi per gli intermediari.

L’obiettivo è rendere più rapide le decisioni e verificare che i servizi essenziali possano continuare anche quando un’intrusione riesce. Esercitazioni realistiche, scenari di attacco abilitati dall’AI e coinvolgimento dei fornitori critici assumono quindi un rilievo crescente. La proporzionalità resta legata a dimensioni, complessità, modello di attività e profilo di rischio, senza escludere un livello di protezione di base per tutti gli operatori.

Il punto conclusivo dello studio è che i principi della resilienza informatica non vengono sostituiti dall’AI di frontiera. Cambiano, soprattutto, il tempo disponibile per applicarli e l’intensità con cui devono essere eseguiti: un quadro di controlli formalmente adeguato può diventare insufficiente se l’organizzazione non è in grado di attuarlo alla velocità delle nuove minacce.