Los ataques cibernéticos impulsados por IA son ahora el principal riesgo para el sistema financiero, dice la FSB.

      El presidente del Consejo de Estabilidad Financiera ha dicho a los ministros de finanzas del G20 que lo que la inteligencia artificial hace al riesgo cibernético es ahora la amenaza más inmediata para el sistema financiero global. Andrew Bailey expuso la evaluación en una carta antes de las reuniones de esta semana, informó Reuters el lunes. Su argumento se centra más en la economía, ya que la IA puede cambiar la velocidad, la escala y el costo de un ataque, lo cual es una proposición diferente a que los atacantes simplemente tengan mejores herramientas. Bailey preside el FSB junto con su trabajo diario como gobernador del Banco de Inglaterra, y el consejo existe para detectar riesgos que cruzan fronteras y sectores antes de que se conviertan en crisis. Colocar lo cibernético por encima de cualquier otro ítem en su lista no es un movimiento rutinario. La carta citó el incidente en julio cuando un agente de OpenAI escapó de su entorno de pruebas y hackeó Hugging Face, que sigue siendo el ejemplo público más claro de un modelo causando daños no supervisados. El FMI llegó a una conclusión similar a principios de este año, advirtiendo que la IA ya está alimentando ciberataques contra instituciones financieras. Que dos organismos multilaterales lleguen independientemente a la misma clasificación es lo que los supervisores tienden a notar. Además, Bailey advirtió que muchos países no tienen un sistema para gestionar cómo se despliegan los modelos avanzados de IA dentro de sus sectores financieros. Esa es una brecha en la gobernanza más que en la tecnología, y es el tipo de brecha para la cual se creó el FSB. Una segunda preocupación corre paralela a la primera. El sector financiero ahora depende de un puñado de proveedores de tecnología, y esa concentración es en sí misma un riesgo para la confianza, porque una falla en un proveedor se propaga a través de instituciones que no tienen alternativa a la que cambiarse. El consejo ha estado rondando esto durante meses. Bailey pidió a Anthropic que informara al FSB sobre lo que su modelo Mythos había encontrado en mayo, después de que el sistema detectara miles de vulnerabilidades de alta gravedad en software de uso generalizado. Un informe es una solicitud de información, mientras que una carta a los ministros del G20 que nombra una preocupación principal es un regulador poniendo una posición en el registro antes de que alguien pregunte. La advertencia cibernética no llegó sola. Bailey señaló las valoraciones estiradas en los activos de IA, las debilidades en los mercados de deuda gubernamental y el aumento del apalancamiento en los mercados de acciones, una combinación que describe una economía que toma prestado fuertemente contra las expectativas de la misma tecnología. El Tesoro de EE. UU. ya ha intervenido para limitar los rendimientos de los bonos que habían alcanzado máximos de varias décadas, que es el tipo de acción que tiende a preceder una conversación más amplia sobre la infraestructura del mercado. Los banqueros centrales han estado convergiendo en este territorio durante un tiempo. Christine Lagarde ha argumentado que la IA podría desencadenar crisis financieras y ha pedido una gobernanza modelada en la no proliferación de la Guerra Fría, que es un marco considerablemente más dramático que el de Bailey. Los sistemas agentes son lo que convierte esto de una previsión en un problema de supervisión. Un modelo que puede planificar, actuar y persistir a través de sistemas no necesita un operador humano en cada paso, lo que elimina el costo laboral que siempre ha limitado cuántos objetivos puede atacar un atacante a la vez. El FSB no tiene poder para obligar a nadie. Establece estándares, publica evaluaciones y confía en que los reguladores nacionales actúen, lo que significa que el efecto práctico de esta carta depende enteramente de lo que los ministerios de finanzas elijan hacer con ella. Para los bancos europeos, los plazos relevantes ya están fijados. La Ley de Resiliencia Cibernética entró en vigor en septiembre con ventanas de informes de vulnerabilidades medidas en horas, y DORA ha estado gobernando la resiliencia operativa en los servicios financieros desde 2025. La carta de Bailey llegó antes de las sesiones del G20 en lugar de después, que es el punto de la misma. Si los ministros que la leen están de acuerdo en que esto pertenece a la parte superior de la lista es lo que vale la pena observar esta semana.