AI Frontier Kini Risiko Siber Sistemik: Apa yang Pengawal Selia EU dan UK Mahukan

Lembaga Am ESRB sebelum itu telah menaikkan penilaian risiko siber sistemik daripada “meningkat” pada Mac kepada “serius” pada Jun 2026 . ESRB menggesa pihak berkuasa EU memperkukuh kapasiti, kepakaran dan autonomi strategik dalam bidang ini, selain menyelaraskan tindakan antara penyedia AI, institusi kewangan dan penyelia .

Tiga pihak berkuasa penyeliaan menyokong amaran ESRB

Pada hari yang sama, European Banking Authority (EBA) bagi sektor perbankan, European Insurance and Occupational Pensions Authority (EIOPA) bagi insurans serta pencen, dan European Securities and Markets Authority (ESMA) bagi pasaran sekuriti — secara bersama dikenali sebagai ESAs — menyokong amaran tersebut .

Mereka menggesa semua entiti kewangan yang tertakluk kepada Digital Operational Resilience Act (DORA), termasuk bank, syarikat insurans, pengurus aset dan firma pelaburan, menyesuaikan pengaturan keselamatan siber serta pengurusan risiko teknologi maklumat dan komunikasi (ICT) mereka .

Dalam kenyataan bersama pada 31 Julai 2026, ESAs menyeru pendekatan penyeliaan yang konsisten, berasaskan risiko dan merentas sektor . Antara jangkaan utama ialah:

• tadbir urus yang lebih kukuh serta kebertanggungjawaban lembaga pengarah;
• penilaian risiko berterusan dan kemas kini rangka kerja pengurusan risiko ICT;
• keupayaan mengesan serta bertindak balas terhadap insiden dengan pantas, selaras dengan tempoh serangan yang semakin singkat; dan
• standard persaingan yang setara merentas sektor kewangan .

ECB meminta pelan tindakan daripada institusi penting

Pada 7 Julai, Claudia Buch, Pengerusi Lembaga Penyeliaan European Central Bank (ECB), menghantar surat kepada CEO semua Significant Institutions — institusi kewangan besar yang diselia di bawah Single Supervisory Mechanism .

Surat itu meminta tindakan segera dan proaktif untuk menangani ancaman keselamatan siber yang didayakan AI, termasuk pelan tindakan konkrit bagi setiap institusi . Menurut laporan, kira-kira 110 pemberi pinjaman perlu menyerahkan pelan komprehensif menjelang akhir Oktober 2026 .

UK bergerak seiring

Pengawal selia UK mengambil beberapa langkah selari dalam tempoh yang sama.

Bank of England mengiktiraf AI sebagai risiko kestabilan sistemik

Dalam laporan separuh tahun Financial Stability Report pada 7 Julai, Financial Policy Committee Bank of England mengenal pasti AI sebagai risiko sistemik dalam dua aspek: leverage dan tumpuan dalam pasaran berkaitan AI, serta ancaman siber yang dipertingkatkan oleh AI frontier .

Bank of England turut menekankan bahawa AI meningkatkan kerentanan bank terhadap serangan siber . Timbalan Gabenor Sarah Breeden memberi isyarat bahawa langkah dasar khusus mungkin diperlukan bagi ejen AI autonomi .

Kenyataan bersama menetapkan lima bidang tindakan

Sebelum itu, pada 15 Mei, Bank of England, Financial Conduct Authority (FCA) dan HM Treasury mengeluarkan kenyataan bersama yang meminta firma kewangan terkawal serta infrastruktur pasaran kewangan memperkukuh pertahanan siber dengan segera .

Kenyataan tersebut menetapkan lima bidang yang perlu diberi perhatian:

1. tadbir urus dan strategi;
2. pengurusan kelemahan;
3. pengurusan risiko pihak ketiga;
4. perlindungan; dan
5. tindak balas serta pemulihan .

Pihak berkuasa UK menegaskan bahawa peraturan daya tahan operasi sedia ada dan Senior Managers and Certification Regime sudah mewajibkan firma merancang serta mengurangkan risiko berkenaan . Kenyataannya tidak semestinya memperkenalkan peraturan baharu, tetapi menguatkan jangkaan yang telah wujud di bawah rangka kerja tersebut .

FCA memberi amaran tentang penipuan yang lebih meyakinkan

Dalam tinjauan besar FCA mengenai AI dalam perkhidmatan kewangan pada 6 Julai, pengawal selia itu menyimpulkan bahawa AI akan memperbesar risiko penipuan dan siber. Penipuan boleh menjadi lebih meyakinkan, berskala besar dan sukar dikesan, termasuk melalui identiti sintetik, deepfake dan kejuruteraan sosial yang diperibadikan .

Data tinjauan menunjukkan industri masih belum bersedia

Tindakan pengawal selia bukan dibuat tanpa bukti. Beberapa tinjauan utama pada 2026 menunjukkan ancaman semakin pantas, sementara keyakinan industri terhadap tahap kesediaan mereka masih rendah.

• World Economic Forum, Global Cybersecurity Outlook 2026: 87% responden mengenal pasti kelemahan berkaitan AI sebagai risiko siber yang paling pantas berkembang. Bahagian responden yang menganggap keselamatan alat AI sebagai kebimbangan hampir berganda, daripada 37% pada 2025 kepada 64% pada 2026 .
• Gigamon 2026 Hybrid Cloud Security Survey: 77% firma perkhidmatan kewangan yang pernah mengalami kebocoran berkata insiden itu melibatkan AI, 54% melaporkan peningkatan serangan kejuruteraan sosial berkuasa AI, dan 88% mengakui organisasi mereka tidak berasa cukup bersedia menghadapi serangan siber yang dijana AI .
• KPMG 2026 Banking Technology Survey: 76% eksekutif perbankan melaporkan peningkatan serangan siber sepanjang tahun lalu. Sebagai tindak balas, 92% pemimpin bank meningkatkan belanjawan keselamatan siber dan 84% menambah pelaburan khusus untuk menangani risiko yang diperkenalkan AI .
• ProSight 2026 CRO Outlook Survey: 74% ketua pegawai risiko menganggap risiko teknologi dan siber sebagai kategori risiko utama, dengan pendigitalan serta AI meluaskan permukaan serangan .
• Cloud Security Alliance: 20% firma melaporkan pernah mengalami insiden keselamatan berkaitan AI, manakala 21% lagi tidak pasti sama ada insiden sedemikian pernah berlaku. Dapatan ini menunjukkan jurang besar dalam pemantauan dan penglihatan keselamatan AI .
• Tinjauan Darktrace sektor kewangan: 92% responden bimbang tentang implikasi keselamatan penggunaan ejen AI di seluruh tenaga kerja mereka .
• CSI 2026 Banking Priorities Survey: kejuruteraan sosial yang dipertingkatkan AI menjadi ancaman keselamatan siber utama untuk tahun ketiga berturut-turut .

Dapatan dari luar Eropah menguatkan gambaran sama. Laporan Kestabilan Kewangan Reserve Bank of India pada Jun 2026 mendapati ancaman siber berasaskan AI merupakan risiko keselamatan siber yang paling dirasakan oleh sektor kewangan India . Data DSCI pula menunjukkan tempoh eksploitasi mengecut daripada kira-kira 745 hari kepada sekitar 44 hari, manakala kos serangan jatuh lebih 70% .

Apakah tindak balas yang disarankan?

Walaupun datang daripada pengawal selia, badan industri dan pemerhati pasaran yang berbeza, cadangan mereka mempunyai hala tuju yang hampir sama.

1. Letakkan risiko AI di peringkat lembaga

Risiko siber AI frontier perlu dimasukkan ke dalam selera risiko lembaga pengarah dan rangka kerja tadbir urus ICT. Ia perlu dilayan sebagai risiko sistemik, bukan semata-mata isu operasi jabatan teknologi .

Firma juga perlu menetapkan tanggungjawab yang jelas pada peringkat pengurusan kanan bagi mengurus risiko siber berkaitan AI .

2. Kukuhkan asas keselamatan siber

Pemerhati industri menyarankan pelaburan dalam penglihatan rangkaian masa nyata dan alat pertahanan berasaskan AI, kerana firma yang mempunyai jurang penglihatan lebih berisiko mengalami kebocoran berkuasa AI .

Namun, penyelesaian itu bukan sekadar menambah lebih banyak alat. Amalan asas masih penting — tampalan segera, kawalan akses, pembahagian rangkaian, seni bina sifar kepercayaan serta keupayaan pemulihan — seperti yang ditekankan oleh National Cyber Security Centre UK .

Firma juga disarankan membataskan “jejari letupan” atau blast radius, iaitu skop kerosakan yang boleh berlaku jika satu sistem berjaya ditembusi . Ujian red-team dan ujian adversarial yang menyasarkan senario serangan AI frontier perlu dijalankan secara berkala .

3. Selaraskan tindakan merentas sempadan

Tabiat bekerja secara berasingan tidak lagi memadai apabila serangan boleh menjejaskan infrastruktur yang dikongsi oleh banyak institusi. IMF dan ESRB mengesyorkan pendekatan menyeluruh yang menghubungkan pengawal selia kewangan, agensi keselamatan siber, pembangun AI dan sektor swasta .

Kerjasama antarabangsa melalui kumpulan seperti G7 Cyber Expert Group dan Financial Stability Board juga perlu diperkukuh. Pada masa sama, sektor awam perlu meningkatkan kepakaran dalam AI dan keselamatan siber supaya tidak ketinggalan daripada kemampuan sektor swasta .

4. Sesuaikan penyeliaan dengan kelajuan AI

Pengawal selia kini bergerak daripada sekadar menetapkan peraturan kepada penyeliaan risiko AI secara lebih langsung . Firma pula perlu menganggap tempoh eksploitasi yang pendek sebagai keadaan normal baharu dan menyesuaikan perjanjian tahap perkhidmatan tindak balas insiden dengan sewajarnya .

Pihak berkuasa juga perlu menilai sama ada ambang pemberitahuan insiden dan keperluan modal sedia ada di bawah DORA serta Solvency II benar-benar mencerminkan risiko AI frontier .

Kesimpulan

Mesej pengawal selia semakin jelas: risiko siber AI frontier bukan lagi senario masa depan. Ia sudah dianggap ancaman aktif yang boleh merebak melalui sistem kewangan.

Bagi institusi kewangan, tindak balas yang sesuai bukan hanya mengejar teknologi baharu. Ia memerlukan tadbir urus yang bertanggungjawab di peringkat lembaga, asas keselamatan siber yang dilaksanakan secara konsisten, pertahanan berasaskan AI, kawalan terhadap kesan serangan dan kerjasama rapat merentas sempadan. Dalam era serangan yang berlaku pada kelajuan mesin, daya tahan perlu dibina sebelum insiden berlaku — bukan selepasnya.