ورود بی‌سروصدای ایجنت‌های هوش مصنوعی به حساب‌های بانکی؛ ساختارهای مدیریت ریسک هنوز آماده نیستند

طبیعی است که هوش مصنوعی برای حمله به دارندگان دارایی به کار گرفته شود؛ بازیگران مخرب این فناوری را به سوی هر منبع باارزشی نشانه می‌روند. امروزه برخی از بانک‌ها نمی‌توانند مشتری واقعی را از ایجنت هوش مصنوعی او تشخیص دهند، و این شکاف بیش از آنکه مشکلی فنی باشد، یک چالش جدی در کنترل ریسک است. در ۲۲ اکتبر، رسانه Axios گزارش داد که بانک‌های بزرگ ایالات متحده در حال شناسایی ایجنت‌های هوش مصنوعی متفرقه و غیرمجاز درون حساب‌های مشتریان هستند. مورگان استنلی مسدودسازی آنها را آغاز کرده و بانک‌هایی مانند جی‌پی‌مورگان، بنک آو آمریکا و سیتی نیز دسترسی آنها را به‌شدت محدود کرده‌اند. یکی از مدیران ارشد بانکی اعلام کرده است که تشخیص اینکه یک ایجنت از سوی مشتری مجاز شده یا رفتاری سرکش و نفوذی دارد، برای بانک فوق‌العاده دشوار است.

اگرچه سخنگوی مورگان استنلی اعلام کرده که این بانک هنوز ایجنت‌های سرکش را در پلتفرم‌های خود مشاهده نکرده است، اما گزارش‌های موجود هشداری زودهنگام برای بانک‌های متوسط به شمار می‌روند؛ بانک‌هایی که بودجه بسیار کمتری نسبت به غول‌های وال‌استریت برای ارتقای امنیت سایبری در اختیار دارند. این آسیب‌پذیری نوظهور موضوع بررسی کارشناسان شرکت مشاوره مدیریت ریسک SRA Consulting است؛ نهادی با دهه‌ها سابقه تخصصی که ابزارها و خدمات کنترل ریسک را به بانک‌های متوسط ارائه می‌دهد.

ورود به حساب کاربری دیگر نشان‌دهنده اراده و قصد کاربر نیست

کارشناسان حوزه ریسک تأکید می‌کنند که بیشتر این موارد شبیه نفوذهای امنیتی سنتی نیستند. ماجرا از این قرار است که کاربر نام کاربری و رمز عبور خود را در اختیار یک دستیار هوش مصنوعی می‌گذارد و آن دستیار با هویت خودِ مشتری وارد حساب می‌شود. اکثر بانک‌ها چنین کاری را ممنوع می‌دانند، زیرا قوانین آنها ایجاب می‌کند که فقط انسان‌ها شخصاً وارد حساب‌هایشان شوند. این سازوکار همچنین بانک را عملاً نابینا می‌کند؛ زیرا ایجنت اختصاصی مشتری، ایجنت متعلق به یک خلافکار سایبری و ایجنتی که از دستورهای مشتری فراتر رفته است، همگی با مدارک شناسایی معتبر وارد سامانه می‌شوند.

مایکل گلوتز (Michael Glotz)، از مدیران ارشد شرکت SRA، معتقد است که هوش مصنوعی به‌خودی‌خود یک ریسک مستقل است و هم‌زمان ریسک‌های موجود در تمام دسته‌بندی‌های قانونی را تشدید می‌کند. او می‌گوید: «هوش مصنوعی به ریسک عملیاتی و کلاهبرداری دامن می‌زند، ریسک انطباق با قوانین را بالا می‌برد و ریسک اعتباری را افزایش می‌دهد.» یک عامل هوشمند درون حساب مشتری، تمام این موارد را به‌طور هم‌زمان تحت تأثیر قرار می‌دهد. به همین دلیل، مدیریت این پدیده نباید صرفاً پروژه‌ای فنی و محدود به بخش فناوری اطلاعات باشد، بلکه باید در چارچوب بازنگری کلان کنترل ریسک در عصر هوش مصنوعی مدیریت شود. برت ناتز (Bert Knotts)، دیگر مدیر این مجموعه، اشاره می‌کند که بانک‌ها برای سال‌ها در محیطی باثبات و کم‌تغییر فعالیت می‌کردند، اما در فضای کنونی که با سیستم‌های پیوسته فعال و حملات مداوم هوش مصنوعی تعریف می‌شود، رویکرد مدیریت ریسک در تمامی بانک‌ها نیازمند دگرگونی بنیادین است.

اکثر بانک‌ها در حال حاضر دسترسی صرفاً خواندنی (Read-only) را فعال کرده‌اند یا به سمت آن حرکت می‌کنند؛ شبیه همان مجوزی که پیش‌تر به نرم‌افزارهای مدیریت بودجه نظیر Quicken داده می‌شد. این اقدام نخستین گام مناسب به شمار می‌رود، اما گام اساسی بعدی ایجاد سازوکاری شفاف برای احراز هویت ایجنت‌های قانونی و معتبر است.

مهاجمان صبور در میان ترافیک عادی کاربران پنهان می‌شوند

آمیتاب بهارگاوا (Amitabh Bhargava)، از کارشناسان ارشد ریسک، یادآور می‌شود که هزینه اقدامات مجرمانه به‌شدت کاهش یافته است؛ زیرا نرم‌افزارهای مبتنی بر هوش مصنوعی می‌توانند تمامی لایه‌های کنترلی یک بانک را به‌صورت شبانه‌روزی و بدون خستگی بررسی کنند و منتظر بمانند تا یک لایه با شکست مواجه شود. هنگامی که ایجنت‌های قانونی نیز با اطلاعات ورود معتبر وارد سامانه می‌شوند، فعالیت‌های خصمانه به‌سادگی درون ترافیک معمول شبکه ادغام و پنهان می‌گردد. همین منطق در درون ساختار بانک نیز صدق می‌کند، جایی که یک کارمند با مقاصد سوء، به یک دستیار خستگی‌ناپذیر مجهز شده است. ابزارهای نظارتی که برای سرعت و دقت تمرکز انسان طراحی شده‌اند، توانایی رصد هیچ‌یک از این دو تهدید را ندارند.

بیمه‌های سایبری ممکن است این خسارت‌ها را پوشش ندهند

مدیران شرکت SRA خاطرنشان می‌کنند که شرکت‌های بیمه اکنون سیاست‌های مواجهه بانک‌ها با هوش مصنوعی را دقیق ارزیابی کرده و از خود هوش مصنوعی برای محدود کردن دامنه تعهدات قراردادهایشان بهره می‌گیرند. دور از ذهن نیست که بیمه‌گران استدلال کنند هرگونه خسارتی که با تحویل رمز عبور توسط مشتری به ایجنت آغاز شود، خارج از پوشش‌های بیمه‌ای قرار دارد. بانک‌های متوسط همواره به استحکام بیمه‌های سایبری و تدابیر جبران خسارت متکی بوده‌اند، اما در شرایط جدید، مدیران ریسک باید نحوه واکنش هر بیمه‌نامه به رویدادهای خسارت‌بار ناشی از عوامل هوشمند را مجدداً بازبینی کنند.

عوامل هوشمند حاشیه سود بانک‌ها و توان مالی وام‌گیرندگان را هدف می‌گیرند

در عین حال، گزارش‌ها نشان می‌دهد مدیران بانکی به‌خوبی می‌دانند که مشتریان خواهان استفاده از این دستیاران هوشمند هستند و بانک‌ها باید راهکاری میانه پیدا کنند. مسدودسازی ایجنت‌ها صرفاً فرصتی برای خرید زمان است و علاوه بر آن از درآمدهای فعلی بانک محافظت می‌کند؛ زیرا بخش عمده‌ای از درآمد کارمزدی بانک‌ها به سستی و بی‌توجهی مشتریان وابسته است. سرویس‌هایی مانند Rocket Money در حال حاضر تمامی اشتراک‌های پولی مشتری را در یک فهرست گردآوری کرده و لغو موارد ناخواسته را پیشنهاد می‌دهند. اگر این منطق به کارمزدهای اضافه برداشت، موجودی‌های راکد و کم‌بازده، و بازپرداخت وام‌ها تعمیم یابد، مشتریان منفعل به بازیگرانی کاملاً فعال تبدیل می‌شوند. با فراگیر شدن ایجنت‌های هوشمند، درآمدهای حاصل از کم‌توجهی مشتریان کاهش می‌یابد؛ زیرا ایجنت‌ها خدمات مالی را با دقتی بالا به نفع کاربر بهینه‌سازی می‌کنند.

برت ناتز خاطرنشان می‌کند که این فشار به پرتفوی وام‌ها و تسهیلات اعطایی نیز سرایت می‌کند. وام‌گیرندگانی که درآمدشان متکی به مشتریان بی‌توجه به مقایسه قیمت‌ها است، یا کسب‌وکارهایی که ایجنت‌های هوش مصنوعی می‌توانند کار آنها را به‌طور کامل انجام دهند، با ریسک‌هایی روبه‌رو هستند که در صورت‌های مالی گذشته‌نگر منعکس نمی‌شود. در سطح کلان‌تر، هوش مصنوعی برندگان و بازندگان بزرگی ایجاد خواهد کرد؛ به‌عنوان نمونه، اعطای وام به یک شرکت بازاریابی یا مؤسسه حقوقی بدون سنجش خطرات هوش مصنوعی برای کسب‌وکار آنها، از منظر مدیریت ریسک اقدامی ناقص است. بنابراین بانک‌ها باید تحلیل ریسک مواجهه با هوش مصنوعی را به ارزیابی‌های اعتباری خود اضافه کنند.

فرهنگ سازمانی، سرعت تحول را تعیین می‌کند

مدیران ارشد با یک انتخاب استراتژیک میان حرکت محتاطانه برای حفظ امنیت و سرعت بالا برای یادگیری مؤثر روبه‌رو هستند. یکی از عوامل کندکننده تحول، تمرکز بیش از حد بر ادغام‌های سازمانی است؛ فرایندهای طولانی ادغام بانک‌ها منابع مالی و تمرکز را هدر می‌دهد، در حالی که بانک‌های پیشرو در حوزه هوش مصنوعی از رقبایی که ماه‌ها صرف پیوند زدن فناوری‌های قدیمی می‌کنند، پیشی می‌گیرند.

ناتز به بانک PNC به‌عنوان نمونه‌ای اشاره می‌کند که مسیری متفاوت را در پیش گرفته است. مدیرعامل این بانک در اظهارات اخیر خود تأکید کرد که PNC در پی پیشتازی در حوزه هوش مصنوعی است و خود را برای ورود «نیروی کار مبتنی بر هوش مصنوعی عاملی» آماده می‌کند. بر اساس گزارش‌های صنعتی، این بانک در حال توسعه سامانه‌هایی است که می‌توانند ایجنت‌های هوش مصنوعی را همگام با کارکنان انسانی شناسایی و اعتبارسنجی کنند.

صرف‌نظر از ابعاد و اندازه بانک، این اصل کلیدی همواره صادق است: بانک‌ها باید عملکرد هر بازیگر، خواه انسان یا ماشین را به‌طور پیوسته ارزیابی و اعتبارسنجی کنند. واگذاری هر کار به یک ایجنت می‌تواند بهره‌وری را بالا ببرد، اما نیازمند مدل‌سازی دقیق رفتارهای احتمالی آن ابزار است. مدیرانی که خود از عوامل هوشمند در فعالیت‌های روزمره استفاده می‌کنند، این تحول را سریع‌تر از کسانی که تنها درباره آن مطالعه می‌کنند درک خواهند کرد. در مجموع، شرایط فعلی ایجاب می‌کند که رویکرد مؤسسات مالی نسبت به سنجش و اجرای راهبردهای ریسک دستخوش بازنگری کامل شود.

اقدامات ضروری برای سه‌ماهه چهارم سال ۲۰۲۶

1. ارزیابی امنیتی را برای دنیای ایجنت‌های هوش مصنوعی کامل کنید: چارچوب‌های ریسکی که حتی یک سال پیش تدوین شده‌اند، احتمالاً در برابر پیچیدگی‌های امروزی ناکارآمد هستند.
2. ارتباطات تازه بسازید و به شرکای قدیمی تکیه کنید: اطمینان حاصل کنید که مشاوران و ارائه‌دهندگان خدمات فناوری اطلاعات شما از این تحولات سریع جلوتر حرکت می‌کنند و در صورت نیاز از متخصصان پیشرو کمک بگیرید؛ چراکه صرفه‌جویی نابجا در امنیت سایبری هزینه‌های بسیار سنگین‌تری به‌همراه دارد.
3. بیمه‌نامه‌های خود را با دقت بخوانید: تمام بیمه‌های مرتبط با خطرات سایبری جدید را بررسی کنید تا مشخص شود چه مواردی تحت پوشش قرار دارند، چه بندهایی استثنا شده‌اند و کدام حوزه‌ها هنوز مبهم هستند.
4. شرایط بحران را در یک محیط بانکی مبتنی بر هوش مصنوعی تمرین کنید: بانک‌های پیشرو برنامه‌های ویژه‌ای برای ایمن‌سازی سیستم‌ها و بازیابی سریع دسترسی مشتریان در صورت وقوع بدترین سناریوها طراحی کرده‌اند؛ اجرای منظم این رزمایش‌های سایبری برای هر بانکی الزامی است.
5. اطمینان حاصل کنید مدیران ارشد قدرت واقعی این ایجنت‌ها را از نزدیک تجربه کرده‌اند: اگر مدیران رده‌بالا تجربه مستقیمی از کار با ابزارهای نوین هوش مصنوعی نداشته باشند، شناخت درستی از تهدیدها نخواهند داشت؛ در این عرصه بی‌اطلاعی مدیران از سوی سهام‌داران و مشتریان پذیرفتنی نیست.

صنعت بانکداری در حال ورود به دورانی نوین است که در کنار نوآوری و جهش خیره‌کننده بهره‌وری با هوش مصنوعی، خطرات پویا و فزاینده‌ای را نیز به‌همراه دارد. حفظ بقا و امنیت در چنین فضایی مستلزم هوشیاری مضاعف و ارتقای جدی ساختارهای دفاعی است.