البنوك الأمريكية تستعد لأسوأ سيناريوهات الذكاء الاصطناعي وخطط استعادة الوصول للعملاء

الحقائق الرئيسية

تعمل أكبر البنوك الأمريكية على منع أسوأ سيناريوهات الذكاء الاصطناعي، لكنها تضع أيضاً خططاً لما بعد وقوع كارثة، بحسب تقرير Axios المنشور في 23 أكتوبر. وتستعد المؤسسات لتأمين وصول العملاء إلى حساباتهم أو استعادته سريعاً إذا وقع هجوم واسع النطاق. ويتزامن هذا التخطيط مع توسع استخدام وكلاء الذكاء الاصطناعي الذين قد يصلون إلى الحسابات المالية ويتخذون إجراءات نيابة عن أصحابها. وتشمل البنوك التي رصدها التقرير Morgan Stanley وBank of America وJPMorgan وWells Fargo. وتتناول هذه المخاوف حدود تفويض الوكيل وقدرته على الالتزام بتعليمات المستخدم، إلى جانب مخاوف مستقلة بشأن مخاطر النماذج الرائدة.

يصل بعض الوكلاء إلى الحسابات عبر بيانات دخول يقدمها العملاء بإذن منهم، لكن هذا الاستخدام يخالف إرشادات معظم البنوك التي تشترط أن يسجل البشر الدخول بأنفسهم. وقالت Axios إن بعض المصارف رصدت وكلاء يتصلون بمراكز خدمة العملاء، أو يبدون كأنهم يتخذون إجراءات مستقلة عن تعليمات المستخدم. وهنا يبرز سؤال عملي للمؤسسات: هل يمكنها معرفة أن حركة الحساب بدأها العميل ووجّهها، أم أن الوكيل تصرف من تلقاء نفسه؟ وقال التقرير إن كثيراً من البنوك لا تستطيع حالياً التمييز على نطاق واسع بين النشاط الموجّه من المستخدم وغيره. ويجعل هذا الغموض ضبط الوصول واستعادة السيطرة على الحسابات جزءاً من خطط التعامل مع المخاطر.

تتجه استجابة البنوك حالياً إلى حجب الوكلاء الخارجيين أو تقييد صلاحياتهم. وبدأت Morgan Stanley منع وكلاء الطرف الثالث من الوصول إلى منصاتها، بينما تقيد JPMorgan وBank of America وCiti وصولهم أيضاً. وقال جيمي ديمون إن JPMorgan لا تسمح لأي وكيل خارجي بالدخول إلى حسابات العملاء أو التصرف فيها بسبب مخاطر الأمن. وفي المقابل، تسمح غالبية البنوك أو تتجه إلى السماح بوصول للقراءة فقط، بحيث يستطيع الوكيل الاطلاع على المعلومات المالية من دون تنفيذ إجراء. ويمثل هذا التوجه محاولة للإبقاء على إمكان الاستعلام عن الحسابات مع الحد من قدرة الوكيل على تحويل الأموال أو تغيير بياناتها.

ويشمل التخطيط المصرفي سيناريو «اليوم التالي» لكارثة محتملة، بحيث تتمكن المؤسسات من تأمين وصول العملاء أو استعادته بسرعة بعد هجوم واسع النطاق. ويفصل تقرير Axios بين هذا الاستعداد وبين المخاوف من نشاط الوكلاء داخل الحسابات؛ إذ يقول إن مخاوف الأنظمة الرائدة دفعت البنوك إلى الاستثمار في الوقاية والاستعداد للأسوأ. وفي فعالية Axios يوم 20 أكتوبر، أثار رئيس المؤسسة الفيدرالية للتأمين على الودائع سؤالاً عن مدى تفويض المودعين قرارات نقل الأموال إلى الوكلاء. وقال رئيس شركة Alpaca إن تحديد المسؤولية عندما يتصرف الوكيل على نحو خاطئ ما زال سؤالاً مفتوحاً. ويضع ذلك التفويض والمساءلة ضمن القضايا التي تواجه المؤسسات مع انتقال استخدام الوكلاء إلى الخدمات المالية.

وفي مسار منفصل، تتعلق تحذيرات أمنية أخرى بثغرتين حرجتين في لغة PHP، التي تشغّل نحو 70% من المواقع عالمياً، وفق تقرير أسوشيتد برس. ونشرت PHP في 21 أكتوبر تحديثات قالت إنها تعالج ثغرتين قد تتيحان تنفيذ تعليمات عن بُعد من دون مصادقة. وشملت الإصدارات المصححة 8.5.12 و8.4.27 و8.3.36 و8.2.35. وكانت PHP قد صنفت الثغرتين بدرجة خطورة 9.2 لكل منهما على مقياس CVSS v4.0 في إشعارها المسبق الصادر في 20 أكتوبر. وتتصل هذه الثغرات بأمن المواقع والخوادم التي تستخدم PHP، ولا تثبت صلة سببية بينها وبين مخاطر الوكلاء الذين يدخلون الحسابات المصرفية.

ودعا تحذير وحدة الإنترنت التابعة لمكتب التحقيقات الفيدرالي مشغلي المواقع إلى إخراجها من الخدمة مؤقتاً إذا تعذر تثبيت التحديث فوراً. وأفادت أسوشيتد برس بأن بعض الخدمات الحكومية تعطلت أو عملت بقدرات محدودة أثناء تنفيذ إجراءات الحماية. وفي اليابان، قال مسؤولون إنهم لم يتلقوا تقارير عن أضرار ناجمة عن هجمات مرتبطة بثغرات PHP. وذكرت مؤسسة PHP أن الثغرات كانت معروفة منذ 2024 على الأقل، ووصفت التأخر في إصلاحها بأنه إخفاق هيكلي. وقالت OpenAI إنها قادت خلال الشهرين السابقين تحالفاً من المطورين والباحثين ومزودي الأمن لمعالجة ثغرات PHP، فيما اكتشف باحثو Wiz الثغرتين بصورة مستقلة.

وكان مارك بينيوف، الرئيس التنفيذي لشركة Salesforce، قد نشر عبارة «إنذار أحمر» على منصة X، مقتبساً موظفاً في Anthropic حذر من أن الوضع الأمني سيزداد سوءاً قبل أن يتحسن. وجاءت العبارة في سياق التحذير من ثغرات PHP، لا إعلاناً من بينيوف عن حالة طوارئ مصرفية. وتجمع التطورات بذلك بين ملفين متوازيين: ضوابط وصول الوكلاء إلى الحسابات، ومعالجة ثغرات بنية المواقع والخوادم. وعلى صعيد البنوك، تظل الخطوات المذكورة هي الحجب أو التقييد، مع إتاحة الوصول للقراءة فقط لدى غالبية المؤسسات أو توجهها إلى ذلك. أما التحديث الأمني المباشر الذي أعلنته PHP فيتطلب تثبيت أحد الإصدارات المصححة الواردة في إشعار 21 أكتوبر.