AI 網攻為何升級成金融穩定風險？

AI 讓攻擊者多了什麼？

網路風險不是新鮮事，自動化攻擊也不是今天才出現。真正的變化在於攻防節奏。ASIC 在 2026 年 5 月 8 日警告，前沿 AI 正加劇全球網路風險環境，並要求所有持牌機構與市場參與者強化資安韌性 。

短期內，監管機構擔心的不是一種完全陌生的新攻擊，而是既有弱點被更快找到、測試與利用。報導引述 IMF 分析指出，AI 正大幅降低駭客發現與利用漏洞所需的時間與成本；ASIC 也警告，前沿 AI 的濫用可能以前所未有的速度、規模與複雜度暴露資安漏洞 。

這會讓銀行與金融機構面臨三種實際壓力：

1. 防守時間被壓縮。 漏洞若更快被發現與利用，偵測、修補與隔離事件的窗口就會變窄 。
2. 既有控制措施更常被測試。 有關 ASIC 公開信的報導指出，重點不是風險類型完全翻新，而是現有控制措施會更頻繁、在更大壓力下被挑戰 。
3. 攻擊面擴大。 APRA 指出，金融機構快速採用 AI 已超過治理、資安韌性與風險控管的步伐，問題包括董事會監督、監測、員工使用、供應商集中與不透明系統 。

為什麼資安事件會變成金融穩定問題？

單一公司被入侵，通常已是嚴重的資安與營運事件；但若攻擊打中金融業共同依賴的基礎設施，性質就不同。IMF 特別點出金融系統對共享數位基礎設施的依賴，包括軟體、雲端服務、支付網路與其他資料網路 。

也就是說，風險可能不只停留在 IT 部門。IMF 分析認為，極端網路事件損失可能觸發資金壓力、引發償付能力疑慮，並干擾更廣泛市場 。

IMF 在其《全球金融穩定報告》的網路風險章節也指出，網路攻擊數量已較 COVID-19 疫情前幾乎翻倍；多數已通報的直接損失相對較小，約為 50 萬美元，但至少 25 億美元的極端損失風險已經上升 。

這個對比很重要：大多數資安事件不會造成系統性衝擊，但低機率、高衝擊的「尾端風險」正在變得更值得警惕。IMF 的網路風險分析提到的傳導管道包括存款外流、交易暫停與資產價格波動 。

為什麼現在警告銀行？

各方警訊在此時集中出現，原因很直接：AI 能力演進得太快，部分金融機構的治理與韌性工程沒有同步跟上。

在澳洲，APRA 警告，銀行沒有跟上 AI 產業發展，許多資訊安全實務也難以匹配 AI 變化速度 。APRA 另指出，金融機構快速採用 AI 正超過治理、資安韌性與風險控管能力 。

ASIC 隨後在 2026 年 5 月 8 日要求金融服務持牌機構與市場參與者立即行動，強化資安韌性，且不要等到更先進的 AI 工具出現後才補強基本資安能力 。全球層面上，IMF 於 2026 年 5 月 7 日的分析把 AI 推動的網路攻擊定位為金融穩定風險；另有報導稱，IMF 呼籲各國就 AI 驅動的網路威脅加強國際合作 。

IMF 總裁 Kristalina Georgieva 的報導引述更直白：全球目前尚無能力保護國際貨幣體系免受大規模網路風險衝擊 。

更強的韌性，不只是再買一套工具

監管機構傳達的訊息並不是「多買一套資安產品」而已，而是要把 AI 風險納入治理、營運韌性與問責架構。

金融機構眼前最清楚的優先事項包括：

• 董事會層級承擔 AI 風險。 APRA 已指出，在 AI 採用加速之際，治理與董事會監督仍有落差 。
• 先補強資安基本功。 ASIC 要求機構現在就行動，不要等待更先進 AI 工具才提升基礎資安能力 。
• 加強 AI 使用的監測與控制。 APRA 點名監測不足、控制薄弱與員工使用風險等問題 。
• 管理第三方與基礎設施依賴。 APRA 提到供應商集中與不透明系統；IMF 的系統性風險警告則聚焦於共同軟體、雲端、支付與資料基礎設施 。
• 跨機構、跨境協調。 IMF 呼籲更多國際合作，因為網路衝擊可能跨越國界與共享基礎設施 。

底線

AI 驅動的網攻不代表銀行危機必然發生。但它確實讓一個熟悉的風險變得更快、更可擴張，也更可能壓力測試金融體系的共同依賴。平均損失可以仍然不大，同時尾端風險卻在上升；這正是 IMF、ASIC 與 APRA 要求銀行在 AI 加速型事件真正發生前，先強化治理、資安韌性與風險控制的原因 。