Почему ИИ-кибератаки стали риском для финансовой стабильности

Что ИИ меняет для атакующих

Кибератаки существовали задолго до генеративного ИИ, и автоматизация в киберпреступности тоже не новость. Новое — скорость. Австралийская комиссия по ценным бумагам и инвестициям, ASIC, 8 мая 2026 года заявила, что передовой ИИ усиливает глобальную киберрисковую среду, и призвала держателей финансовых лицензий и участников рынков срочно укреплять киберустойчивость .

Главный страх регуляторов — не появление «магической» новой атаки, а ускорение уже знакомых процессов. По сообщениям об анализе МВФ, ИИ резко снижает стоимость и время, необходимые хакерам для поиска и эксплуатации уязвимостей; ASIC также предупредила, что злоупотребление передовыми ИИ-моделями может раскрывать уязвимости на беспрецедентном уровне скорости, масштаба и сложности .

Для банков и финансовых компаний это означает три практические проблемы:

1. Меньше времени на реакцию. Если слабые места находятся быстрее, у защитников сужается окно для обнаружения, исправления и локализации инцидента .
2. Сильнее нагрузка на старые контуры защиты. По сообщениям о письме ASIC, регулятор подчеркивал: речь не обязательно о совершенно новых категориях риска, а о том, что существующие меры контроля будут проверяться чаще и под большим давлением .
3. Шире поверхность атаки. Австралийский орган пруденциального надзора APRA предупреждал, что быстрое внедрение ИИ опережает управление, киберустойчивость и контроль рисков, включая надзор советов директоров, мониторинг, использование ИИ сотрудниками, концентрацию поставщиков и непрозрачные системы .

Почему это уже не только вопрос кибербезопасности

Взлом одной компании может быть болезненным, но не обязательно системным. Другое дело — тяжелый инцидент, затрагивающий инфраструктуру, которой пользуются многие финансовые организации одновременно. МВФ прямо указывает на зависимость финансовой системы от общей цифровой инфраструктуры: программного обеспечения, облачных сервисов, платежных сетей и сетей передачи данных .

Именно здесь киберриск превращается из технической проблемы в макрофинансовую. По оценке МВФ, экстремальные потери от киберинцидентов могут вызвать напряжение с фондированием, усилить сомнения в платежеспособности и нарушить работу более широких рынков . В главе Global Financial Stability Report о киберриске МВФ также отмечал, что число кибератак почти удвоилось по сравнению с периодом до пандемии COVID-19; при этом большинство прямых зарегистрированных потерь были относительно небольшими — около $0,5 млн, но риск экстремальных потерь не менее $2,5 млрд вырос .

В этом и состоит неприятная асимметрия. Средний инцидент может оставаться сравнительно небольшим, но редкий крупный сбой способен ударить по доверию, ликвидности и нормальной работе рынков. В материалах МВФ среди возможных каналов названы отток депозитов, остановки торгов и волатильность цен активов .

Почему регуляторы заговорили об этом сейчас

Предупреждения МВФ, ASIC и APRA сходятся в одной точке: возможности ИИ развиваются быстрее, чем у части финансового сектора успевают обновляться управление и устойчивость.

В Австралии APRA предупреждала, что банки не поспевают за развитием ИИ-индустрии, а многие практики информационной безопасности с трудом соответствуют темпу изменений . APRA также отмечала, что быстрое внедрение ИИ в финансовых организациях опережает управление, киберустойчивость и контроль рисков .

Затем ASIC 8 мая 2026 года призвала держателей лицензий финансовых услуг и участников рынков действовать немедленно, укреплять киберустойчивость и не ждать появления продвинутых ИИ-инструментов, чтобы подтянуть базовые меры кибербезопасности . На глобальном уровне МВФ 7 мая 2026 года описал ИИ-усиленные кибератаки как риск для финансовой стабильности, а отдельные сообщения указывали, что фонд призвал к более тесному международному сотрудничеству по таким угрозам .

Жесткость тона хорошо передают опубликованные слова директора-распорядителя МВФ Кристалины Георгиевой: по ее оценке, у мира пока нет способности защитить международную валютную систему от масштабных киберрисков .

Как выглядит более сильная устойчивость

Регуляторный сигнал не сводится к совету купить еще один продукт кибербезопасности. Речь о более широкой операционной устойчивости: кто отвечает за риск, как контролируется использование ИИ, насколько понятны зависимости от поставщиков и как быстро организация может выдержать удар.

Для банков и финансовых компаний приоритеты выглядят так:

• Ответственность на уровне совета директоров. APRA указывала на отставание управления и надзора советов директоров на фоне ускоренного внедрения ИИ .
• Базовая кибергигиена до надежды на «ИИ-защиту». ASIC призвала компании действовать сейчас и не ждать продвинутых ИИ-инструментов, чтобы укрепить фундаментальные меры кибербезопасности .
• Контроль за использованием ИИ внутри организации. APRA выделяла слабый мониторинг, недостаточные контроли и риски, связанные с использованием ИИ сотрудниками .
• Управление зависимостью от поставщиков и общей инфраструктуры. APRA указывала на концентрацию поставщиков и непрозрачные системы, а предупреждение МВФ о системном риске строится вокруг общих программных решений, облаков, платежных и дата-сетей .
• Координация за пределами одной компании. МВФ призвал к более тесному международному сотрудничеству, поскольку кибершок может пересекать границы и распространяться через общую инфраструктуру .

Главное

ИИ-кибератаки не делают банковский кризис неизбежным. Но они делают знакомый риск быстрее, масштабнее и опаснее для общих зависимостей финансовой системы. Средние потери могут оставаться небольшими, пока растет «хвостовой» риск — вероятность редких, но очень крупных инцидентов. Именно поэтому МВФ, ASIC и APRA требуют от банков усилить управление, киберустойчивость и контроль до того, как ИИ-ускоренный инцидент станет реальным стресс-тестом для финансовых рынков .