L’intelligenza artificiale non sta soltanto rendendo più sofisticati gli attacchi informatici contro le banche. Sta modificando una variabile molto più concreta e pericolosa: il tempo disponibile per reagire. È questa la conclusione centrale del nuovo paper pubblicato il 9 settembre 2026 dal Financial Stability Institute della Bank for International Settlements, intitolato “When machines attack: frontier AI cyber threats and policy responses in the financial sector”. Il documento sostiene che i modelli di frontiera possono individuare autonomamente vulnerabilità, sviluppare exploit efficaci e condurre operazioni informatiche articolate in più passaggi, riducendo drasticamente competenze, tempo e risorse necessarie per realizzare attacchi sofisticati.
Per il settore finanziario il problema non consiste quindi semplicemente nell’avere sistemi più vulnerabili. Il problema è che il vecchio rapporto fra scoperta di una vulnerabilità, valutazione del rischio, autorizzazione della correzione, applicazione della patch e verifica del sistema sta diventando troppo lento rispetto alla velocità delle macchine. La BIS parla esplicitamente di “compressed cyber remediation windows”: finestre di intervento sempre più ristrette, nelle quali un’organizzazione deve passare dalla scoperta del difetto alla correzione prima che un attaccante automatizzato possa trasformarlo in una porta d’ingresso. Il software non aspetta il comitato rischi, il change management meeting o la finestra di manutenzione del sabato notte.
Il punto è particolarmente rilevante per le banche perché la sicurezza informatica è ancora in larga misura organizzata intorno a processi progettati per una minaccia umana. Un attaccante umano deve studiare un ambiente, selezionare gli obiettivi, comprendere le dipendenze, scrivere o adattare strumenti, aggirare difese e mantenere l’operazione sotto controllo. Un modello avanzato può invece automatizzare una parte crescente di questa catena, soprattutto quando viene inserito in un sistema capace di utilizzare strumenti esterni, interrogare ambienti software, eseguire codice e prendere decisioni operative. La BIS sottolinea proprio questa combinazione fra modello capace e infrastruttura software che gli consente di pianificare, utilizzare strumenti e agire autonomamente.
La distinzione è importante perché evita una delle semplificazioni più frequenti nel dibattito sull’AI security: attribuire alla macchina un’intenzione malevola. Il paper della BIS non sostiene che i modelli sviluppino spontaneamente obiettivi criminali. Il rischio nasce dalla capacità di perseguire in modo efficace un compito definito, anche quando le conseguenze operative di quel compito diventano dannose. È una differenza tecnica tutt’altro che accademica. Un agente non deve “voler fare del male” per produrre un incidente; deve soltanto essere sufficientemente capace, sufficientemente autonomo e sufficientemente collegato ai sistemi che gli permettono di agire.
La conseguenza per i responsabili IT e per i consigli di amministrazione è piuttosto scomoda. Non basta aumentare il budget cybersecurity se i processi decisionali continuano a muoversi alla velocità del 2015. La capacità difensiva deve crescere insieme alla capacità offensiva delle macchine. Questo significa accelerare la scoperta delle vulnerabilità, automatizzare dove possibile la valutazione e la distribuzione delle patch, ridurre i passaggi autorizzativi che non aggiungono reale sicurezza e accettare che, in determinate circostanze, un’interruzione programmata del servizio possa essere meno costosa di un sistema lasciato vulnerabile.
La BIS rileva inoltre che le autorità finanziarie stanno convergendo su una risposta pragmatica: non necessariamente creare un nuovo regime regolamentare specifico per l’AI, ma rafforzare gli attuali framework di cybersecurity e operational resilience adattandoli a un ambiente nel quale la velocità degli attacchi aumenta. È una scelta sensata. Creare un nuovo acronimo europeo ogni volta che emerge una nuova tecnologia è una specialità normativa che produce spesso più documentazione che resilienza. Il problema, in questo caso, non è inventare nuove regole, ma fare funzionare più rapidamente quelle esistenti.
Questo approccio si inserisce nel quadro europeo già segnato dal Digital Operational Resilience Act, che impone al settore finanziario una maggiore capacità di prevenire, gestire e recuperare dalle perturbazioni ICT. La novità introdotta dall’AI è soprattutto quantitativa, ma con effetti qualitativi: se un attacco può essere pianificato ed eseguito molto più rapidamente, la resilienza non può essere misurata soltanto sulla capacità di sopravvivere all’incidente. Deve essere misurata anche sulla capacità dell’organizzazione di prendere decisioni abbastanza velocemente da impedirne la materializzazione.
Il problema si estende inoltre alla crescente concentrazione tecnologica. Le banche dipendono da cloud provider, software vendor, infrastrutture condivise e, sempre più, fornitori di modelli AI. La BIS evidenzia il rischio di concentrazione e di dipendenza da terze parti, compresi i rischi legati alla sovranità e all’accesso a infrastrutture tecnologiche critiche. Un singolo fornitore può diventare quindi un punto di propagazione di un problema che attraversa contemporaneamente più istituzioni, giurisdizioni e mercati. L’outsourcing tecnologico ha ridotto costi e tempi, ma ha anche trasformato la superficie del rischio in una rete di dipendenze che nessun organigramma bancario può governare da solo.
La parte più interessante del rapporto è però quella in cui l’AI viene considerata anche come strumento difensivo. Gli stessi modelli capaci di accelerare la ricerca delle vulnerabilità possono essere utilizzati per individuarle prima degli aggressori, migliorare il rilevamento delle anomalie, assistere l’analisi degli incidenti e velocizzare la risposta. Il vantaggio competitivo non sarà quindi semplicemente possedere AI, ma riuscire a inserirla nella catena decisionale della cybersecurity senza trasformarla in un nuovo punto di vulnerabilità. L’automazione offensiva e quella difensiva rischiano di correre una gara nella quale il vantaggio appartiene a chi riesce a ridurre più rapidamente il tempo fra segnale, decisione e azione.
Il riferimento contenuto nel paper agli episodi recenti che hanno coinvolto sistemi AI e ambienti reali serve proprio a mostrare il passaggio dalla dimostrazione teorica all’applicazione operativa. La BIS considera queste evidenze ancora preliminari e avverte che esperimenti condotti con salvaguardie ridotte e risorse computazionali significative non possono essere automaticamente interpretati come una fotografia delle capacità disponibili a qualsiasi aggressore. Ma il punto strategico rimane: le capacità dimostrate in laboratorio possono essere integrate in sistemi capaci di operare nel mondo reale. È questa integrazione, più che il modello isolato, a cambiare il profilo del rischio.
Per una banca, dunque, la cybersecurity entra in una nuova fase nella quale il tempo diventa una misura di capitale operativo. Una vulnerabilità non è soltanto un difetto tecnico; è un debito temporale. Più a lungo rimane aperta, maggiore diventa la probabilità che qualcuno o qualcosa la trasformi in un incidente. Con l’arrivo degli agenti AI, il vecchio concetto di patch management rischia di diventare un reperto amministrativo: efficace quando l’avversario aveva bisogno di persone, procedure e tempo, molto meno quando dall’altra parte c’è un sistema software capace di cercare, adattare, concatenare ed eseguire.
La conclusione implicita del rapporto della BIS è quindi più manageriale che fantascientifica. Le banche non devono prepararsi a una guerra contro macchine ribelli, ma a un ambiente nel quale macchine molto più veloci possono essere utilizzate da esseri umani, organizzazioni criminali o altri attori per comprimere drasticamente i tempi dell’attacco. La risposta non consiste nel promettere sicurezza assoluta, promessa che nel settore informatico ha sempre avuto la stessa affidabilità delle previsioni sulla fine dei bug. Consiste nel costruire organizzazioni capaci di vedere prima, decidere prima, correggere prima e recuperare prima. Quando l’attacco diventa automatizzato, anche la resilienza deve diventare una capacità operativa quasi automatica.