مجلس الاستقرار المالي: خطر AI السيبراني هو القلق الأكثر إلحاحًا
حذّر رئيس مجلس الاستقرار المالي أندرو بيلي، في خطاب نُشر في 31 أغسطس 2026، من أن الأثر المحتمل للذكاء الاصطناعي المتقدم في الخطر السيبراني هو القلق الأكثر إلحاحًا للنظام المالي. وتوضح الصفحة الرسمية للخطاب أنه قُدّم إلى وزراء مالية ومحافظي البنوك المركزية في مجموعة العشرين قبل اجتماعات 31 أغسطس و1 سبتمبر.
التحذير المنشور في ذلك التاريخ لا يعلن قاعدة ملزمة أو مهلة امتثال جديدة، لكنه يحدد الخطر الذي يريد المجلس من المؤسسات المالية ومزودي التقنية الاستعداد له: هجمات أسرع وأوسع وأقل كلفة، قد يتضاعف أثرها بسبب الاعتماد على عدد محدود من الخدمات المشتركة. وأكدت تغطية رويترز للخطاب أن بيلي ربط الخطر بسرعة الهجوم ونطاقه واقتصادياته، وبتركيز الاعتماد على مزودي التقنية الأقوياء.
كيف يغيّر الذكاء الاصطناعي إيقاع الخطر السيبراني
لا يقول الخطاب إن كل نموذج متقدم سيصبح أداة هجومية، بل يقر أيضًا بالفرص التي تتيحها التقنية للدفاع السيبراني. موضع القلق هو أن تنامي الاستقلالية والقدرة على حل المشكلات قد يسرّع اكتشاف الثغرات واستغلالها، فتواجه المؤسسات عددًا أكبر من المشكلات في وقت أقصر وتضطر إلى اختبار التصحيحات ونشرها بوتيرة أعلى.
ينشأ هنا خطر تشغيلي مزدوج. التأخر في التصحيح يطيل فترة التعرض للهجوم، لكن دفع رقعة غير مختبرة إلى أنظمة الهوية أو الحسابات أو المدفوعات قد يصنع انقطاعًا جديدًا داخل المؤسسة. لذلك لا يكفي قياس سرعة تثبيت الرقعة؛ ينبغي أن يشمل الاختبار التحقق من أثرها في بيئة مماثلة للإنتاج، وإمكان التراجع عنها، واستمرار الوظائف المالية الحرجة أثناء التغيير.
بالنسبة إلى المصارف وشركات الدفع في الشرق الأوسط وشمال أفريقيا، لا تتوقف المسألة عند حدود المؤسسة أو الدولة. فقد تمر الخدمة الواحدة عبر مزود سحابي عالمي، وخدمة هوية، ومكونات برمجية مشتركة، وشبكات تسوية أو مراسلة دولية. كل طبقة إضافية توسع المسار الذي يمكن أن ينتقل عبره التعطل، وتزيد صعوبة تحديد الجهة القادرة على استعادة الخدمة أولًا.
لماذا يحوّل تركّز المزودين حادثًا واحدًا إلى اضطراب واسع
الخطر النظامي لا يأتي من قوة الهجوم وحدها، بل من اشتراك مؤسسات كثيرة في البنية التقنية نفسها. إذا اعتمدت بنوك وشركات دفع متعددة على مزود سحابي واحد أو خدمة هوية مشتركة أو مكون أمني مركزي، فقد يؤدي فشل واحد إلى تعطيل جهات تبدو مستقلة في اللحظة ذاتها.
وقد يمتد الأثر إلى الثقة في السوق حتى من دون إثبات سرقة أموال أو بيانات. تعطل الوصول إلى الحسابات أو تأخر المدفوعات لدى مؤسسات متعددة يجعل العملاء والأطراف المقابلة أقل قدرة على معرفة ما إذا كان الخلل محصورًا، بينما تتنافس الجهات المتضررة على فريق الدعم والموارد الفنية لدى المزود نفسه.
لهذا لا تكفي قائمة المتعاقدين المباشرين لفهم التركّز. يلزم أن تكشف خريطة الاعتماد مزودي الباطن، وخدمات التحكم والهوية، ومواقع الاستضافة، والمكونات التي يشترك فيها البديلان المفترضان. التعاقد مع مزود ثانٍ لا يحقق تنويعًا فعليًا إذا كان المزودان يعتمدان في الخلفية على البنية السحابية أو خدمة الإدارة ذاتها.
أربعة اختبارات تترجم التحذير داخل المؤسسة المالية
دعا بيلي المؤسسات المالية والبنى التحتية للأسواق ومزودي التقنية إلى تقوية إدارة الثغرات والاستجابة والتعافي، والاستعداد لتعطل متزامن يصيب شركات متعددة أو اعتمادًا تقنيًا مشتركًا. كما تنقل خلاصة ABA Banking Journal تشديده على القدرة على استعادة الأنظمة والبيانات الحرجة من bare metal بعد حادث سيبراني جسيم.
يمكن تحويل هذه الأولويات إلى اختبارات تشغيلية مترابطة، مع توضيح أن التفاصيل الآتية صياغة تطبيقية للمؤسسات وليست معيارًا فنيًا جديدًا أصدره المجلس:
- إدارة الثغرات: محاكاة ثغرة عالية الخطورة تصيب مكونات حرجة متعددة، ثم قياس زمن تحديد نطاق التعرض واختبار الرقعة ونشرها أو التراجع عنها من دون فقد الوظيفة المالية الأساسية.
- انقطاع الطرف الثالث: افتراض فقد خدمة مشتركة مثل الهوية أو الاستضافة، مع ازدحام دعم المزود وغياب موعد مؤكد للاستعادة، ثم اختبار الوظائف التي يمكن استمرارها من خلال مسار مستقل.
- الاستعادة من bare metal: إعادة بناء نظام حرج في بيئة نظيفة باستخدام نسخ احتياطية وإعدادات ومفاتيح متاحة خارج البيئة المصابة، ثم التحقق من سلامة البيانات وتسلسل المعاملات قبل العودة إلى الإنتاج.
- التعطل المتزامن: افتراض إصابة المؤسسة ومعالج المدفوعات والمزود المشترك في الوقت نفسه، واختبار قدرة فرق الأمن والتقنية والعمليات والخزانة والاتصال على اتخاذ قرارات متسقة بموارد محدودة.
ينبغي أن تقيس النتيجة استعادة خدمة محددة، لا مجرد إكمال خطوات التمرين. من المؤشرات المفيدة زمن عودة الوظيفة، ومقدار البيانات الذي يمكن فقده من دون الإخلال بسلامة الدفاتر، ونسبة العمليات التي يمكن تنفيذها خارج الاعتماد المتعطل. وجود نسخة احتياطية لا يثبت وحده إمكان تشغيل النظام منها تحت ضغط حادث فعلي.
ما الذي يقع على مزودي التقنية
لا تملك المؤسسة المالية وحدها جميع أدوات الاستجابة، لأن السجلات ومفاتيح الإدارة ووسائل الاستعادة قد تكون داخل منصة المزود المتعطلة. لذلك يجب أن تحدد ترتيبات الخدمة نقاط الاعتماد المشتركة، وكيف سيعطي المزود الأولوية لعملاء ماليين متعددين أثناء حادث واسع، وكيف ستصل المؤسسة إلى بياناتها وأدلتها الفنية عندما لا تعمل لوحة الإدارة الأساسية.
أما عند استخدام نماذج متقدمة في الدفاع السيبراني، فتدخل ضوابط الإصدار والنشر ضمن المرونة التشغيلية. تحتاج المؤسسة إلى معرفة الصلاحيات الممنوحة للنموذج، ومسار الإبلاغ عن السلوك الخطر، وإمكان تعطيل التكامل أو الرجوع إلى إصدار سابق من دون إسقاط بقية أدوات المراقبة والاستجابة.
قابلية الخروج تحتاج بدورها إلى اختبار، لا إلى بند تعاقدي فقط. السؤال التشغيلي هو ما إذا كان يمكن نقل البيانات والإعدادات والسجلات إلى بيئة بديلة ضمن الزمن الذي تتحمله الخدمة، وما الوظائف التي ستتوقف أثناء النقل، وما إذا كانت أدوات الإدارة أو مفاتيح التشفير مرتبطة بالمزود المراد تجاوزه.
ما الذي يبقى غير محسوم بعد الخطاب
حتى 1 سبتمبر 2026، يظل ما صدر خطابًا يحدد أولوية رقابية ودعوة إلى الاستعداد، وليس لائحة تقنية جديدة أو جدول امتثال معلنًا. لم يحدد المجلس بعد شكل أي إرشادات لاحقة، أو منهجًا موحدًا لقياس تركّز المزودين، أو اختبارات مشتركة يتعين على جميع المؤسسات تنفيذها.
المؤكد حاليًا هو اتجاه التوقع الرقابي: يجب أن تستعد المؤسسات المالية ومزودوها لسيناريو أسرع وأوسع قد يعطل جهات متعددة في وقت واحد، وأن يثبتوا عمليًا إمكان استعادة الأنظمة والبيانات من بيئة نظيفة. أما القرارات التي قد تتخذها مجموعة العشرين أو السلطات الوطنية استنادًا إلى الخطاب فتظل الخطوة التالية التي تحتاج إلى إعلان منفصل.
اقرأ أيضًا:
اشترك في نشرتنا الإخبارية
احصل على أحدث أخبار الويب 3 والذكاء الاصطناعي والعملات المشفرة مباشرة في بريدك.