“数万韩元AI也能攻破安全网……金融业需建‘联合盾牌’”

随着利用人工智能进行的黑客攻击日益升级，有观点指出，金融业的安全应对也应转向以人工智能为基础的防御体系。尤其是预算和安全人员不足的中小型金融公司，难以自行配备高价设备和专业人才，因此要求建立金融业层面联合应对体系的呼声正在升高。具体而言，应利用金融安全专业机构的安全检查和联合安全监控，降低成本负担；大型金融公司也应共同提升合作方的安全水平。

View original image

梨花女子大学商学院教授Chae Sangmi于9月14日表示：“攻击者已经能利用仅需数万韩元的通用人工智能应用程序接口制作恶意代码并钻研漏洞，而作为防御方的中小型金融公司却受制于网络隔离，无法将通用人工智能用作防御工具，这无异于要求用石斧抵挡子弹。”“越是无力购买高价安全设备的中小型公司，越迫切需要借助通用人工智能进行源代码分析和漏洞检查。”

有观点指出，随着生成式人工智能加快攻击速度，应建立制度基础，使中小型金融公司能够使用基于人工智能和软件即服务的漏洞检测、源代码检查等外部安全服务。

他指出，放宽网络隔离监管的标准不应仅按公司规模，即资产达到2万亿韩元以上来划分，而有必要以风险及互联程度（数据持有量、应用程序接口流量）、实际安全能力等为中心进一步细分。Chae教授表示：“如果具备数据脱敏、安全网关等最低限度的技术安全措施，确保核心个人信息或重要资产不会泄露，就有必要允许中小型金融公司也使用人工智能防御工具。”“放宽网络隔离不应只是提升大型公司的业务效率，而应从提高中小型金融公司防御能力的角度推进。”

不过，扩大外部连接对于安全能力不足的公司而言，可能成为新的攻击路径。金融委员会相关人士表示：“不应一刀切地实施网络隔离放宽措施，而应考虑各公司的安全能力和风险水平。”“对于安全能力或技术经验不足的公司，需要采取利用外部漏洞分析或专业机构支持等方式。”

监管部门计划将在当前推进的人工智能安全测试中发现的漏洞、攻击方式及应对方法等纳入指南，并向整个金融业共享。其宗旨是，面向具备一定安全能力的金融公司检查人工智能攻击的可能性，随后共同积累案例和应对经验，以缩小公司之间的安全能力差距。

View original image

问题在于，中小型金融公司的安全人员和预算有限，自主应对能力也并不充分。网络安全专业企业C큐Vista首席执行官Jeon Deokjo表示：“中小型金融公司即使获得高价安全解决方案支持或引入相关方案，也常常缺乏运营所需的专业人员，或者首席执行官及一线员工的安全意识较低，未能主动强化安全服务。”“仅以向单个公司提供安全设备或代金券的方式支持，存在局限性，需要建立面向中小型公司的系统，共同提供安全监控和漏洞应对支持。”

这意味着，除政府提供漏洞诊断、模拟黑客攻击代金券或以配套基金方式支持设备外，还需要建立一套对多家中小型金融公司的安全状况进行联合监控、并支持事故应对的体系。

利用金融安全专业机构的方式被视为方案之一。与其让中小型金融公司引进高价设备或聘用专业人员，不如由金融安全院面向多家公司提供安全检查和技术支持。金融安全院今年正针对178家金融公司开展漏洞分析与评估，包括综合检查、单独检查和面向公众网站检查等。其模拟黑客攻击专职组织也已从原有的6人扩大至20人。

在大型金融公司与支付网关公司、加盟商等合作方相连的委托和合作过程中，强化安全保障也是一项课题。因为攻击者可能先入侵安全薄弱的合作方，继而访问大型公司的系统或客户信息。以Toss Payments为例，使用其支付网关服务的某加盟商支付对接平台认证信息，即对接密钥，被泄露至外部，导致第三方查询了支付记录。共有4131笔支付记录、2671名信息主体的资料遭泄露。

顺天乡大学信息保护系教授Yeom Heungyeol表示：“攻击者可能侵入安全相对薄弱的合作方，继而访问大型公司的系统或客户信息。”“需要落实访问权限最小化、多重认证、网络隔离与分隔、异常行为检测以及定期供应链安全检查。”

View original image

还有建议称，大型金融公司和中小型金融公司应共同构建防御网络，即“联合防护盾”。具体方案是由大型公司建立行业层面的共同资金，支持中小型会员公司的安全检查和基础设施建设。由于金融公司需与信用卡公司、保险公司、支付网关公司等多类经营主体交换数据，一处发生事故就可能扩散至其他公司或客户信息。

Yeom教授表示：“中小型金融公司难以自行提升安全能力，因此应支持联合安全监控、安全解决方案引进费用、专业人员和培训，以及网络入侵事故应对演练。”“大型金融公司也应扩大共同提升合作方安全水平的共赢支持，政府则应制定适合中小型金融公司的最低安全标准和联合应对体系。”

还讨论了由各行业协会委托金融安全院对会员公司进行安全检查的方案。储蓄银行、信用卡公司、贷款行业和金融科技等协会可共同分担部分费用，由金融安全专业机构检查网站和源代码等，提前发现并处置漏洞。金融安全院相关人士表示：“各金融公司无需分别配备高价安全解决方案或专业人员，只要共同使用专业机构基于人工智能的检查服务，就能在降低成本和人力负担的同时提升安全水平。”

必读新闻

“去韩国捞一笔吧”……外国人蜂拥而至的“这里” [周末理财]

• “三星、SK海力士怎么办？”中国传来消息，韩国综指会否受冲击？股东不安
• 年薪2亿韩元的16岁负责人，经营什么业务？还有每月领173万韩元的7岁老板！
• Song Miryeong：“鸡蛋不是想进口就能马上进口的”……反驳巴西产鸡蛋争议
• 还被称作“小BoA”呢……拖欠工资争议道歉后仍引发滔天怒火：“有钱让女儿出道吗？”

海外也在尝试联合应对。环球银行金融电信协会与13家全球银行利用联邦学习，在不将各银行数据转移至外部的情况下，共同升级欺诈检测模型，并已完成相关验证。

版权所有 © 阿视亚经济。未经许可不得转载，禁止用于AI训练及使用。