เมื่อ Frontier AI กลายเป็นความเสี่ยงไซเบอร์เชิงระบบ

ESRB ประกาศเตือนอย่างเป็นทางการ

เมื่อวันที่ 25 มิถุนายน 2026 และเผยแพร่เมื่อวันที่ 7 กรกฎาคม คณะกรรมการความเสี่ยงเชิงระบบยุโรป (European Systemic Risk Board: ESRB) ออกคำเตือน ESRB/2026/3 โดยจัดให้ Frontier AI เป็นแหล่งความเสี่ยงไซเบอร์เชิงระบบต่อระบบการเงินของสหภาพยุโรป

คณะกรรมการทั่วไปของ ESRB ยังยกระดับการประเมินความเสี่ยงไซเบอร์เชิงระบบจากระดับ “ยกระดับ” ในเดือนมีนาคม เป็น “รุนแรง” ในเดือนมิถุนายน 2026 หน่วยงานระบุว่า Frontier AI อาจค้นหาช่องโหว่ zero-day สร้างและนำ exploit ไปใช้จริง รวมถึงดำเนินการโจมตีทางไซเบอร์ขนาดใหญ่ด้วยความเร็วระดับเครื่องจักร

ESRB เรียกร้องให้หน่วยงานของสหภาพยุโรปเพิ่มขีดความสามารถ ความเชี่ยวชาญ และความเป็นอิสระเชิงยุทธศาสตร์ พร้อมผลักดันการประสานงานระหว่างผู้พัฒนา AI สถาบันการเงิน และหน่วยงานกำกับดูแล

หน่วยงานกำกับดูแลการเงินทั้งสามแห่งหนุนคำเตือน

ในวันเดียวกัน หน่วยงานกำกับดูแลการเงินยุโรปทั้งสามแห่ง หรือ ESAs ได้แก่

• EBA หน่วยงานกำกับดูแลการธนาคารยุโรป
• EIOPA หน่วยงานกำกับดูแลประกันภัยและบำนาญอาชีพยุโรป
• ESMA หน่วยงานกำกับดูแลตลาดหลักทรัพย์และหลักทรัพย์ยุโรป

ได้ออกแถลงการณ์ร่วมสนับสนุนคำเตือนของ ESRB และเรียกร้องให้หน่วยงานทางการเงินทุกประเภทที่อยู่ภายใต้กฎหมาย Digital Operational Resilience Act หรือ DORA ปรับระบบความมั่นคงปลอดภัยไซเบอร์และการบริหารความเสี่ยงด้านเทคโนโลยีสารสนเทศให้รองรับภัยจาก Frontier AI

ขอบเขตดังกล่าวครอบคลุมธนาคาร บริษัทประกัน ผู้จัดการสินทรัพย์ และบริษัทลงทุน

ESAs ต้องการการกำกับดูแลที่เป็นมาตรฐานเดียวกัน

เมื่อวันที่ 31 กรกฎาคม 2026 ESAs ออกแถลงการณ์ร่วม JC 2026 25 เรียกร้องให้ใช้แนวทางกำกับดูแลที่ครอบคลุมหลายภาคส่วน อิงตามความเสี่ยง และมีความสอดคล้องกัน

ข้อเรียกร้องหลักประกอบด้วย

• เพิ่มการกำกับดูแลโดยคณะกรรมการบริษัท และกำหนดความรับผิดชอบระดับบอร์ดต่อความเสี่ยงไซเบอร์ที่เกิดจาก AI
• ประเมินความเสี่ยงอย่างต่อเนื่อง และปรับกรอบการบริหารความเสี่ยงด้าน ICT ให้ทันกับความสามารถของโมเดลใหม่
• พัฒนาขีดความสามารถในการตอบสนองต่อเหตุการณ์ให้เร็วพอกับไทม์ไลน์การโจมตีที่ถูก AI บีบให้สั้นลง
• สร้างมาตรฐานการกำกับดูแลที่ใกล้เคียงกันระหว่างภาคธนาคาร ประกันภัย และตลาดทุน

ECB ส่งจดหมายถึงผู้บริหารธนาคารขนาดใหญ่

เมื่อวันที่ 7 กรกฎาคม 2026 Claudia Buch ประธานคณะกรรมการกำกับดูแลของธนาคารกลางยุโรป (ECB) ส่งจดหมายถึงประธานเจ้าหน้าที่บริหารของสถาบันการเงินขนาดใหญ่ทั้งหมดที่อยู่ภายใต้การกำกับของ Single Supervisory Mechanism หรือ SSM

จดหมายดังกล่าวเรียกร้องให้ธนาคารดำเนินมาตรการเชิงรุกและทันทีเพื่อรับมือภัยไซเบอร์ที่เกิดจาก AI พร้อมจัดทำแผนปฏิบัติการอย่างเป็นรูปธรรม ตามรายงาน สถาบันการเงินราว 110 แห่งถูกขอให้ส่งแผนครอบคลุมภายในสิ้นเดือนตุลาคม 2026

อังกฤษเดินหน้าในทิศทางเดียวกัน

หน่วยงานการเงินของสหราชอาณาจักรใช้แนวทางคล้ายกัน โดยค่อย ๆ ยกระดับจากการย้ำความคาดหวังเดิม ไปสู่การระบุว่า AI อาจเป็นความเสี่ยงต่อเสถียรภาพทางการเงินโดยตรง

Bank of England, FCA และ HM Treasury ออกคำแถลงร่วม

เมื่อวันที่ 15 พฤษภาคม 2026 ธนาคารกลางอังกฤษ (Bank of England) หน่วยงานกำกับดูแลทางการเงินของอังกฤษ (FCA) และกระทรวงการคลังอังกฤษ (HM Treasury) เรียกร้องให้บริษัทการเงินที่อยู่ภายใต้การกำกับ รวมถึงโครงสร้างพื้นฐานตลาดการเงิน เร่งเสริมการป้องกันภัยไซเบอร์จาก Frontier AI

คำแถลงกำหนดขอบเขตการดำเนินงานไว้ 5 ด้าน ได้แก่

1. การกำกับดูแลและยุทธศาสตร์
2. การบริหารจัดการช่องโหว่
3. การบริหารความเสี่ยงจากบุคคลที่สาม
4. การป้องกันระบบ
5. การตอบสนองและการฟื้นฟูระบบ

หน่วยงานทั้งสามยังย้ำว่ากฎด้านความยืดหยุ่นในการดำเนินงาน และระบอบ Senior Managers and Certification Regime มีข้อกำหนดให้บริษัทต่าง ๆ ต้องวางแผนและลดความเสี่ยงเหล่านี้อยู่แล้ว

คณะกรรมการนโยบายการเงินอังกฤษระบุ AI เป็นความเสี่ยงเชิงระบบ

เมื่อวันที่ 7 กรกฎาคม 2026 คณะกรรมการนโยบายการเงินของธนาคารกลางอังกฤษ (Financial Policy Committee: FPC) ระบุในรายงานเสถียรภาพทางการเงินประจำครึ่งปีว่า AI เป็นความเสี่ยงเชิงระบบที่ต้องจับตาใน 2 ด้าน ได้แก่

• การก่อหนี้และการกระจุกตัวในตลาดที่เกี่ยวข้องกับ AI
• ภัยไซเบอร์ที่มี Frontier AI เป็นตัวเร่ง

Sarah Breeden รองผู้ว่าการธนาคารกลางอังกฤษส่งสัญญาณว่า อาจมีมาตรการเชิงนโยบายเฉพาะสำหรับระบบ AI ที่ทำงานได้อย่างอิสระหรือ autonomous AI agents ตามมา Reuters รายงานว่า BoE เน้นย้ำด้วยว่า AI กำลังเพิ่มความเปราะบางของธนาคารต่อการโจมตีทางไซเบอร์

FCA ชี้ AI จะขยายความเสี่ยงด้านการฉ้อโกง

เมื่อวันที่ 6 กรกฎาคม 2026 FCA เผยแพร่บททบทวนสำคัญเกี่ยวกับ AI ในบริการทางการเงิน โดยสรุปว่า AI จะทำให้การฉ้อโกงมีความน่าเชื่อถือ ปรับขนาดได้ง่าย และตรวจจับได้ยากขึ้น รวมถึงเพิ่มความเสี่ยงจาก deepfake อัตลักษณ์สังเคราะห์ และ social engineering ที่ปรับให้เฉพาะบุคคล

FCA จึงเรียกร้องให้มีการปรับปรุงกรอบกำกับดูแลให้สอดคล้องกับความเร็วและขนาดของภัยรูปแบบใหม่นี้

ตัวเลขสำรวจสะท้อนว่าภาคการเงินยังไม่พร้อม

คำเตือนของหน่วยงานกำกับดูแลไม่ได้เกิดขึ้นโดยปราศจากข้อมูลสนับสนุน ผลสำรวจหลายฉบับในปี 2026 สะท้อนทั้งความเร็วของภัยคุกคามและความกังวลว่าหลายองค์กรยังขาดความพร้อม

• World Economic Forum — Global Cybersecurity Outlook 2026: ผู้ตอบแบบสำรวจ 87% ระบุว่าช่องโหว่ที่เกี่ยวข้องกับ AI เป็นความเสี่ยงไซเบอร์ที่เติบโตเร็วที่สุด ขณะที่สัดส่วนผู้ที่มองว่าเครื่องมือ AI เป็นความเสี่ยงด้านความปลอดภัยเพิ่มเกือบเท่าตัว จาก 37% ในปี 2025 เป็น 64% ในปี 2026
• Gigamon 2026 Hybrid Cloud Security Survey: บริษัทบริการทางการเงินที่เคยถูกเจาะระบบ 77% พบว่าการเจาะระบบเกี่ยวข้องกับ AI, 54% พบการโจมตีแบบ social engineering ที่ใช้ AI เพิ่มขึ้น และ 88% ระบุว่าองค์กรยังไม่รู้สึกว่าพร้อมรับมือการโจมตีทางไซเบอร์ที่สร้างโดย AI
• KPMG 2026 Banking Technology Survey: ผู้บริหารธนาคาร 76% ระบุว่าจำนวนการโจมตีทางไซเบอร์เพิ่มขึ้นในช่วงปีที่ผ่านมา ขณะที่ 92% กำลังเพิ่มงบประมาณด้านความมั่นคงปลอดภัยไซเบอร์ และ 84% เพิ่มการลงทุนเพื่อรับมือความเสี่ยงที่เกิดจาก AI โดยเฉพาะ
• ProSight 2026 CRO Outlook Survey: ประธานเจ้าหน้าที่บริหารความเสี่ยง 74% ยกให้ความเสี่ยงด้านเทคโนโลยีและไซเบอร์เป็นหมวดความเสี่ยงอันดับต้น ๆ โดยการเปลี่ยนผ่านสู่ดิจิทัลและการใช้ AI กำลังขยายพื้นที่โจมตี
• Cloud Security Alliance — State of Cloud and AI for Financial Services 2026: องค์กร 20% รายงานว่าเคยเกิดเหตุการณ์ด้านความปลอดภัยที่เกี่ยวข้องกับ AI และอีก 21% ไม่แน่ใจว่าเคยเกิดขึ้นหรือไม่ สะท้อนช่องว่างด้านการมองเห็นและการติดตามความเสี่ยง
• Darktrace — ผลสำรวจภาคการเงินเดือนมกราคม 2026: ผู้ตอบแบบสำรวจ 92% กังวลต่อผลกระทบด้านความปลอดภัยจากการใช้ AI agents ในการทำงานของบุคลากร
• CSI 2026 Banking Priorities Survey: การโจมตีแบบ social engineering ที่ได้รับการเสริมด้วย AI กลายเป็นภัยไซเบอร์อันดับหนึ่งต่อเนื่องเป็นปีที่สาม

ข้อมูลจากนอกยุโรปยิ่งตอกย้ำแนวโน้มเดียวกัน รายงานเสถียรภาพทางการเงินเดือนมิถุนายน 2026 ของธนาคารกลางอินเดียพบว่า ภัยไซเบอร์ที่ขับเคลื่อนด้วย AI เป็นความเสี่ยงด้านความมั่นคงปลอดภัยไซเบอร์ที่ภาคการเงินอินเดียมองว่าน่ากังวลที่สุด

ขณะเดียวกัน DSCI รายงานว่าช่วงเวลาที่ผู้โจมตีใช้ประโยชน์จากช่องโหว่ลดลงจากประมาณ 745 วัน เหลือราว 44 วัน และต้นทุนการโจมตีลดลงมากกว่า 70%

ผู้เชี่ยวชาญแนะนำให้สถาบันการเงินทำอะไร

เมื่อพิจารณาคำแถลงของหน่วยงานกำกับดูแล องค์กรอุตสาหกรรม และผู้เชี่ยวชาญ แนวทางรับมือที่ถูกเสนอมีแกนหลักร่วมกันดังนี้

1. ยกระดับความรับผิดชอบถึงระดับบอร์ด

สถาบันการเงินควรนำความเสี่ยงไซเบอร์จาก Frontier AI เข้าไปอยู่ในกรอบความเสี่ยงที่คณะกรรมการบริษัทกำหนด และผนวกเข้ากับการกำกับดูแล ICT โดยมองว่าเป็นความเสี่ยงเชิงระบบ ไม่ใช่เพียงปัญหาด้านปฏิบัติการของฝ่ายไอที

ควรกำหนดผู้รับผิดชอบในระดับผู้บริหารอย่างชัดเจน เพื่อให้การตัดสินใจเรื่องงบประมาณ การยอมรับความเสี่ยง และการตอบสนองต่อเหตุการณ์ไม่ตกอยู่ในพื้นที่สีเทา

2. กลับไปทำพื้นฐานไซเบอร์ให้แน่น แต่ต้องเร็วขึ้น

ข้อเสนอทางเทคนิคและปฏิบัติการประกอบด้วย

• ลงทุนในระบบมองเห็นเครือข่ายแบบเรียลไทม์และเครื่องมือป้องกันที่ใช้ AI เพราะองค์กรที่มีช่องว่างด้านการมองเห็นมีแนวโน้มเผชิญการเจาะระบบที่ขับเคลื่อนด้วย AI มากกว่า
• เร่งติดตั้งแพตช์ จัดการสิทธิ์เข้าถึง แบ่งส่วนเครือข่าย และใช้สถาปัตยกรรม zero trust ตามแนวทางของ National Cyber Security Centre (NCSC) ของอังกฤษ
• ใช้การควบคุม “blast radius” เพื่อจำกัดขอบเขตความเสียหายและป้องกันไม่ให้การโจมตีลุกลามจากระบบหนึ่งไปยังอีกระบบหนึ่ง
• ทำ red-team และการทดสอบเชิงปฏิปักษ์เป็นประจำ โดยจำลองสถานการณ์ที่ Frontier AI ใช้ค้นหาและโจมตีช่องโหว่

3. ประสานงานข้ามหน่วยงานและข้ามประเทศ

กองทุนการเงินระหว่างประเทศ (IMF) และ ESRB สนับสนุนแนวทาง “ทั้งประเทศ” หรือ whole-of-nation ซึ่งนำหน่วยงานกำกับดูแลการเงิน หน่วยงานความมั่นคงปลอดภัยไซเบอร์ ภาคเอกชน และผู้พัฒนา AI มาทำงานร่วมกัน

นอกจากนี้ ควรเพิ่มความร่วมมือระหว่างประเทศผ่านกลไกอย่าง G7 Cyber Expert Group และ Financial Stability Board โดย G7 ได้เผยแพร่แนวทางที่เน้นการกำกับดูแลที่เข้มแข็งและการมีส่วนร่วมจากหลายภาคส่วนแล้ว

ภาครัฐเองก็จำเป็นต้องเพิ่มบุคลากรและความเชี่ยวชาญด้าน AI กับไซเบอร์ เพื่อให้การกำกับดูแลตามทันขีดความสามารถของภาคเอกชน

4. เปลี่ยนจากการออกกฎไปสู่การกำกับดูแลเชิงปฏิบัติ

ผู้สังเกตการณ์เสนอให้หน่วยงานกำกับดูแลเดินหน้าเกินกว่าการออกหลักเกณฑ์กว้าง ๆ และเข้ามาตรวจสอบผลลัพธ์ด้านความยืดหยุ่นของระบบจริง ซึ่งเป็นทิศทางที่หน่วยงานของอังกฤษและสหภาพยุโรปเริ่มดำเนินการแล้ว

สถาบันการเงินควรถือว่าช่วงเวลาการโจมตีที่สั้นลงเป็น “ความปกติใหม่” และปรับข้อตกลงระดับการให้บริการด้านการตอบสนองต่อเหตุการณ์ หรือ incident-response SLAs ให้สอดคล้องกัน

ในระยะต่อไป ยังมีคำถามว่าข้อกำหนดการแจ้งเหตุและเงินกองทุนภายใต้ DORA และ Solvency II สะท้อนความเสี่ยงจาก Frontier AI ได้เพียงพอหรือไม่

บทสรุป: ความเสี่ยงไม่ได้อยู่ในอนาคตอีกต่อไป

สารจากหน่วยงานกำกับดูแลยุโรปและอังกฤษตรงกันมากขึ้นว่า Frontier AI ไม่ใช่เพียงเทคโนโลยีที่ต้องจับตา และความเสี่ยงไม่ได้เป็นเรื่องสมมติในอนาคตอีกแล้ว แต่เป็นภัยไซเบอร์เชิงระบบที่กำลังเกิดขึ้นจริง

คำตอบจึงไม่ใช่การพึ่งพาเครื่องมือ AI เพิ่มขึ้นเพียงอย่างเดียว แต่ต้องประกอบด้วยการกำกับดูแลที่ชัดเจน ความรับผิดชอบระดับบอร์ด การทำพื้นฐานความปลอดภัยไซเบอร์ให้สม่ำเสมอและรวดเร็ว การลงทุนใน AI เพื่อการป้องกัน การจำกัดขอบเขตความเสียหาย และความร่วมมืออย่างลึกซึ้งระหว่างหน่วยงานกำกับดูแล อุตสาหกรรม และประเทศต่าง ๆ