फ्रंटियर AI अब वित्तीय स्थिरता के लिए सिस्टमिक साइबर खतरा क्यों माना जा रहा है?

ESRB के अनुसार, फ्रंटियर AI मॉडल अब IT प्रणालियों में गंभीर कमजोरियां बहुत कम समय में खोजने और उनका फायदा उठाने में सक्षम हो सकते हैं। ऐसे मॉडल पूरी तरह स्वचालित साइबर हमलों की गति, पैमाने और जटिलता को बढ़ा सकते हैं । बोर्ड ने EU अधिकारियों से इस क्षेत्र में क्षमता, विशेषज्ञता और रणनीतिक स्वायत्तता बढ़ाने तथा AI providers, वित्तीय संस्थानों और supervisors के बीच समन्वित प्रतिक्रिया तैयार करने का आग्रह किया ।

EBA, EIOPA और ESMA ने चेतावनी का समर्थन किया

उसी दिन तीन European Supervisory Authorities—European Banking Authority (EBA), European Insurance and Occupational Pensions Authority (EIOPA) और European Securities and Markets Authority (ESMA)—ने ESRB की चेतावनी का संयुक्त समर्थन किया ।

इन संस्थाओं ने Digital Operational Resilience Act (DORA) के दायरे में आने वाली सभी वित्तीय संस्थाओं से अपनी cybersecurity और ICT-risk व्यवस्थाओं को फ्रंटियर AI खतरों के अनुरूप ढालने को कहा। इसमें बैंक, बीमा कंपनियां, asset managers और investment firms शामिल हैं ।

31 जुलाई को ESAs ने एक और संयुक्त बयान जारी कर cross-sectoral, risk-based और consistent supervisory approach की मांग की । उनकी प्रमुख अपेक्षाएं थीं:

• AI-सक्षम साइबर जोखिमों पर board-level accountability और मजबूत governance
• लगातार risk assessments और updated ICT risk-management frameworks
• AI से कम हुए attack timelines के अनुरूप तेज incident response
• बैंकिंग, बीमा और securities क्षेत्रों में समान supervisory standards

ECB ने Significant Institutions के CEO को सीधे पत्र भेजे

7 जुलाई 2026 को ECB Supervisory Board की Chair Claudia Buch ने Single Supervisory Mechanism (SSM) के तहत निगरानी में आने वाली सभी Significant Institutions के CEO को पत्र भेजे । पत्रों में AI-सक्षम साइबर खतरों के खिलाफ तत्काल और proactive कदम उठाने तथा concrete action plans तैयार करने को कहा गया ।

रिपोर्टों के अनुसार, लगभग 110 lenders से अक्टूबर 2026 के अंत तक व्यापक योजनाएं जमा करने को कहा गया था । यह कदम दिखाता है कि फ्रंटियर AI जोखिम अब केवल technology या compliance टीम की जिम्मेदारी नहीं रहा; इसे संस्थान के शीर्ष प्रबंधन और बोर्ड के risk agenda में शामिल करना होगा।

UK ने भी समानांतर कदम उठाए

ब्रिटेन के वित्तीय अधिकारियों ने भी इसी अवधि में कई स्तरों पर हस्तक्षेप किया।

Bank of England, FCA और HM Treasury का संयुक्त बयान

15 मई 2026 को Bank of England, FCA और HM Treasury ने regulated financial firms तथा financial market infrastructures को फ्रंटियर AI मॉडलों से जुड़े साइबर खतरों के खिलाफ अपनी सुरक्षा तत्काल मजबूत करने को कहा ।

संयुक्त बयान में कार्रवाई के पांच क्षेत्र बताए गए:

1. Governance और strategy — बोर्ड और senior management को फ्रंटियर AI जोखिमों की पर्याप्त समझ हो।
2. Vulnerability management — कमजोरियों की पहचान और remediation में तेजी लाई जाए।
3. Third-party risk management — vendors और technology providers पर निर्भरता से जुड़े जोखिमों की समीक्षा हो।
4. Protection — बहुस्तरीय सुरक्षा, नेटवर्क सुरक्षा और अन्य preventive controls मजबूत किए जाएं।
5. Response और recovery — हमले या disruption की स्थिति में तेज प्रतिक्रिया और सेवा बहाली की क्षमता हो ।

नियामकों ने यह भी स्पष्ट किया कि मौजूदा operational resilience नियम और Senior Managers and Certification Regime पहले से ही संस्थानों को इन जोखिमों की योजना बनाने और उन्हें कम करने की जिम्मेदारी देते हैं ।

Financial Policy Committee ने AI को systemic stability risk बताया

7 जुलाई को Bank of England की Financial Policy Committee (FPC) ने अपनी अर्धवार्षिक Financial Stability Report में AI को वित्तीय स्थिरता के लिए अलग सिस्टमिक जोखिम माना। यह जोखिम दो मोर्चों पर है: AI-संबंधी बाजारों में leverage और concentration, तथा फ्रंटियर AI से बढ़े साइबर खतरे ।

Deputy Governor Sarah Breeden ने संकेत दिया कि autonomous AI agents के लिए आगे चलकर विशेष policy measures की जरूरत पड़ सकती है । Reuters के अनुसार, Bank of England ने खास तौर पर यह रेखांकित किया कि AI बैंकों की cyberattacks के प्रति vulnerability बढ़ा सकता है ।

FCA की Mills Review

6 जुलाई को FCA ने financial services में AI पर एक महत्वपूर्ण review प्रकाशित किया। इसमें कहा गया कि AI fraud और cyber risks को बढ़ा सकता है—मसलन, धोखाधड़ी को अधिक विश्वसनीय, बड़े पैमाने पर और मुश्किल से पकड़ में आने वाला बना सकता है। समीक्षा ने regulatory frameworks को अपडेट करने की आवश्यकता पर भी जोर दिया ।

सर्वे डेटा चिंता को कैसे पुष्ट करता है?

नियामकों की कार्रवाई किसी सूचना-शून्य में नहीं हुई। 2026 के कई सर्वेक्षण बताते हैं कि खतरा तेजी से बढ़ रहा है और वित्तीय उद्योग खुद को पूरी तरह तैयार नहीं मानता।

• World Economic Forum — Global Cybersecurity Outlook 2026: 87% उत्तरदाताओं ने AI-संबंधी vulnerabilities को सबसे तेजी से बढ़ता cyber risk बताया। AI tools की security को लेकर चिंता जताने वालों की हिस्सेदारी 2025 के 37% से बढ़कर 2026 में 64% हो गई ।
• Gigamon 2026 Hybrid Cloud Security Survey: जिन financial services firms को breach का सामना करना पड़ा, उनमें 77% ने AI से जुड़ा breach report किया। 54% ने AI-powered social engineering attacks में बढ़ोतरी बताई, जबकि 88% संस्थानों ने कहा कि वे AI-generated cyberattack के लिए पर्याप्त रूप से तैयार महसूस नहीं करते ।
• KPMG 2026 Banking Technology Survey: 76% banking executives ने पिछले एक साल में cyberattacks बढ़ने की बात कही। जवाब में 92% banking leaders cyber budgets बढ़ा रहे हैं और 84% AI से पैदा हुए जोखिमों के लिए विशेष निवेश बढ़ा रहे हैं ।
• ProSight 2026 CRO Outlook Survey: 74% Chief Risk Officers ने technology और cyber risk को अपनी सबसे बड़ी risk category बताया। उनके अनुसार AI-driven digitalisation बैंकों और customer accounts तक हमलावरों के पहुंचने के नए रास्ते बना रही है ।
• Cloud Security Alliance — State of Cloud and AI for Financial Services 2026: 20% संस्थानों ने AI-संबंधी security incident की जानकारी दी, जबकि 21% यह भी नहीं बता सके कि ऐसा incident हुआ था या नहीं। यह AI security visibility और monitoring में बड़ा gap दिखाता है ।
• Darktrace financial-sector survey: 92% respondents ने workforce में AI agents के इस्तेमाल के security implications को लेकर चिंता जताई ।
• CSI 2026 Banking Priorities Survey: AI-enhanced social engineering लगातार तीसरे वर्ष सबसे बड़ा cybersecurity threat बनकर उभरा ।

भारत से जुड़े आंकड़े भी इसी दिशा की ओर इशारा करते हैं। RBI की जून 2026 Financial Stability Report में AI-enabled cyber threats को भारतीय financial sector के सामने सबसे बड़ा perceived cybersecurity risk बताया गया । DSCI के अनुसार exploit window लगभग 745 दिनों से घटकर करीब 44 दिन रह गई है और हमलों की लागत 70% से अधिक कम हुई है ।

Industry observers की सलाह: संस्थानों को क्या करना चाहिए?

नियामकीय बयानों, industry bodies और विशेषज्ञ विश्लेषणों में कुछ साझा प्राथमिकताएं सामने आती हैं।

1. Board-level governance और स्पष्ट जवाबदेही

फ्रंटियर AI cyber risk को केवल operational या IT risk न मानकर board-level risk appetite और ICT governance frameworks में शामिल किया जाना चाहिए । Senior management में यह स्पष्ट होना चाहिए कि AI-संबंधी cyber risk के लिए अंतिम जवाबदेह कौन है ।

2. बुनियादी cyber hygiene को मजबूत करना

National Cyber Security Centre (NCSC) की सलाह के अनुरूप तेज patching, मजबूत access management, network segmentation और zero-trust architecture जैसे बुनियादी उपाय लगातार लागू करने होंगे । फ्रंटियर AI से खतरे की गति बढ़ सकती है, लेकिन कमजोर passwords, unpatched systems या जरूरत से ज्यादा access जैसी पुरानी कमियां अब भी हमले का रास्ता बनेंगी।

3. Real-time visibility और defensive AI में निवेश

संस्थानों को real-time network visibility और AI-सक्षम defensive tools में निवेश करना चाहिए। सर्वे डेटा बताता है कि visibility gaps वाले संगठन AI-powered breaches का अधिक जोखिम झेलते हैं । साथ ही, breach होने पर उसके फैलाव को सीमित करने के लिए “blast-radius” controls जरूरी हैं ।

4. Frontier AI attack scenarios की testing

नियमित red-teaming और adversarial testing को ऐसे scenarios पर केंद्रित करना चाहिए जिनमें frontier AI कमजोरियां खोजता है, social engineering को बड़े पैमाने पर चलाता है या स्वचालित attack chain बनाता है । Incident response plans को उस स्थिति के लिए भी तैयार करना होगा जिसमें हमला पारंपरिक manual timelines से कहीं तेज हो।

5. सीमाओं से परे supervisory coordination

IMF और ESRB ने regulators, cybersecurity agencies, AI developers और private sector को साथ लाने वाले “whole-of-nation” approach की जरूरत बताई है । G7 Cyber Expert Group और Financial Stability Board जैसे मंचों के जरिये अंतरराष्ट्रीय coordination मजबूत करने तथा public-sector AI और cyber expertise बढ़ाने की भी सिफारिश की गई है ।

6. Rules से आगे hands-on supervision

Industry observers के अनुसार नियामकों को केवल broad rules जारी करने के बजाय AI cyber risk पर hands-on supervision बढ़ानी चाहिए । जब exploit window लगभग 745 दिनों से घटकर 44 दिन रह गई है, तो incident response service-level agreements और notification timelines को भी नए जोखिम के अनुरूप recalibrate करना होगा ।

इसके साथ यह भी विचार करना होगा कि DORA और Solvency II के तहत मौजूदा notification thresholds और capital requirements फ्रंटियर AI जोखिम को पर्याप्त रूप से पकड़ते हैं या नहीं ।

निष्कर्ष: यह भविष्य का नहीं, आज का जोखिम है

ESRB, ECB, Bank of England और UK के अन्य नियामकों की कार्रवाई एक साझा बदलाव दिखाती है। फ्रंटियर AI cyber risk अब केवल किसी दूर के भविष्य की संभावना नहीं है। यह सक्रिय सिस्टमिक खतरा है, जो एक संस्था से आगे बढ़कर साझा infrastructure, interconnected financial firms और पूरे financial system को प्रभावित कर सकता है।

उचित प्रतिक्रिया में मजबूत board governance, स्पष्ट senior accountability, लगातार cyber hygiene, AI-सक्षम defence, blast-radius controls, adversarial testing और सीमा-पार supervisory coordination—इन सभी का संयोजन जरूरी है। वित्तीय संस्थानों के लिए असली चुनौती केवल AI को अपनाना नहीं, बल्कि उस गति से सुरक्षित रहना है जिस गति से AI-सक्षम हमले विकसित हो सकते हैं।