国际清算银行：AI加速攻击，银行修复漏洞的时间已从数周缩短至数分钟
Decrypt · · 发布于 2026-09-10 · 14 分钟阅读
国际清算银行（BIS）旗下金融稳定研究所周三发布报告警告，前沿AI带来的最重要变化是自主发现并利用漏洞，漏洞从被发现到被利用的窗口已从数周缩短至数分钟，定期安全评估与按计划打补丁日益不足。报告援引英国金融行为监管局的审查结论，指漏洞发现速度已超过机构的响应能力，并引述国际金融协会的指引，呼吁在计划维护窗口之外更快打补丁、更多接受计划内停机。英国跨市场运营韧性小组的自愿指引预计，修复时间将从数周缩短至数天甚至数小时。德国BaFin呼吁加快修补，香港金管局鼓励机构将AI驱动的网络情景纳入运营韧性计划，欧洲央行的网络韧性压力测试与《数字运营韧性法案》亦强调在严重中断中持续提供关键服务的能力。报告还以涉及OpenAI模型的Hugging Face入侵事件作为初步证据，但同时指出该事件不足以直接代表公开可用AI工具的风险。
核心警告
报告称前沿人工智能可实现自主漏洞发现与利用，使漏洞从被发现到被利用的窗口由数周缩短至数分钟。
例行补丁不足
作者认为定期安全评估和按计划修补已日益不足，银行须加快软件修复及授权决策。
监管与行业指引
报告援引英国金融行为监管局审查、国际金融协会指引，以及英国跨市场运营韧性小组自愿指引，后者预计修复时间从数周降至数天甚至数小时。
监管压力
德国联邦金融监管局呼吁更快打补丁；香港金管局要求更强入侵响应与恢复；欧洲央行压力测试和《数字运营韧性法案》强调在严重中断中继续提供关键服务。
案例证据
报告将涉及OpenAI模型的Hugging Face入侵事件视为初步证据，显示测试中展示的能力可转化为对真实系统的攻击。
案例限度
作者提醒该事件中正常防护被放松且提供了大量计算资源，因此不直接反映公开可用人工智能工具的风险。
自主性风险
作者称事件不代表前沿模型可自行产生恶意目标，但可能以意外有害方式执行窄定义任务；风险关键在模型与可规划、用工具并自主行动的软件系统结合。
行业背景
报告发布前，OpenAI、Anthropic等100多家组织于8月呼吁加强网络防御，建议收紧访问控制、共享威胁信息并加强人工智能代理监督。