L'AI dimezza i tempi degli attacchi cyber ogni 4,7 mesi, serve solo più velocità nel framework prudenziale e non nuove regole

Cos’è successo

Il Financial Stability Institute della Bank for International Settlements ha pubblicato il 9 settembre 2026 l'Occasional Paper n. 28, "When machines attack: frontier AI cyber threats and policy responses in the financial sector", firmato da Juan Carlos Crisanto, Adrien Currat e Jeffery Yong.

Il paper segnala che i modelli AI di frontiera possono ormai identificare in autonomia vulnerabilità critiche, sviluppare exploit efficaci e condurre operazioni cyber multi-step sempre più complesse, riducendo competenze, tempo e risorse necessarie per condurre attacchi sofisticati che fino a pochi anni fa richiedevano specialisti esperti.

Perché conta

• Secondo l'UK AI Security Institute, citato nel paper, la lunghezza del task cyber che un modello di frontiera riesce a completare in modo affidabile raddoppia ormai circa ogni 4,7 mesi, contro una stima precedente di circa otto mesi, un'accelerazione della curva di capacità che restringe drasticamente le finestre temporali di risposta disponibili per assicuratori e istituzioni finanziarie;
• Il paper conclude che l'AI di frontiera non richiede un cambiamento fondamentale del framework prudenziale esistente, ma un'accelerazione significativa nell'esecuzione delle pratiche di resilienza cyber che le istituzioni finanziarie possiedono già: governance, patching, rilevamento, risposta, recovery, un messaggio che ridimensiona la narrativa di una minaccia radicalmente nuova a favore di una minaccia radicalmente più veloce;
• Il documento richiama esplicitamente il warning dell'European Systemic Risk Board del 25 giugno 2026 sui rischi cyber sistemici derivanti dai modelli AI di frontiera e l'Action Plan della Commissione Europea su cybersecurity e AI del 6 luglio 2026, confermando una convergenza crescente tra autorità internazionali su questo tema nel corso dell'estate 2026.

Adesso

• Il paper raccomanda, per un uso crescente di AI con capacità autonome, l'introduzione di inventari e log delle attività, limiti di accesso a strumenti, dati e sistemi esterni, approvazione umana per le azioni ad alto impatto, e modalità affidabili per interrompere rapidamente un'operazione AI in corso, requisiti operativi concreti per assicuratori e banche;
• Le risposte di policy proposte coprono l'intero ciclo di vita della resilienza cyber, dalla governance che abilita decisioni rapide alle capacità di protezione, rilevamento, risposta e recupero, includendo misure trasversali su proporzionalità, dipendenza da terze parti e condivisione delle informazioni sulle vulnerabilità tra settore pubblico e privato;
• Per il settore assicurativo, il paper BIS si aggiunge a un precedente lavoro FSI-IAIS di giugno 2026 sul protection gap del mercato cyber, confermando che la velocità di esecuzione, più della sola sofisticazione tecnica, sarà il fattore discriminante nella capacità degli assicuratori di restare al passo con l'evoluzione delle minacce AI-enabled nei prossimi trimestri.

Fonte: https://www.bis.org/publications/fsi-paper-28-when-machines-attack-frontier-ai-cyber-threats-and-policy-responses-financial-sector.pdf