KNF ostrzega sektor finansowy: modele Frontier AI zmieniają krajobraz cyberzagrożeń

Urząd Komisji Nadzoru Finansowego wydał rekomendacje dla banków i instytucji finansowych, nakazujące pilne dostosowanie systemów bezpieczeństwa do zagrożeń wynikających z rozwoju zaawansowanych modeli sztucznej inteligencji. Polska wpisuje się tym samym w ogólnoeuropejski alarm, który w ciągu ostatnich tygodni podniosły ESRB, EBC i Komisja Europejska.

We wtorek 22 lipca 2026 roku na stronie Komisji Nadzoru Finansowego opublikowano dokument pod tytułem „Rekomendacje dla podmiotów rynku finansowego dotyczące wpływu modeli Frontier AI na cyberbezpieczeństwo”. To czterostronicowe opracowanie przygotowane przez Urząd KNF we współpracy z zespołem CSIRT KNF – jednostką odpowiedzialną za reagowanie na incydenty bezpieczeństwa komputerowego w sektorze finansowym. Dokument nie jest aktem prawnym w sensie rozporządzenia, ale w polskich realiach nadzorczych rekomendacje UKNF traktowane są jako quasi-wiążące wytyczne, których przestrzeganie podlega weryfikacji w trakcie czynności kontrolnych.

Główne przesłanie regulatora jest następujące: rozwój tzw. modeli Frontier AI – czyli najbardziej zaawansowanych systemów sztucznej inteligencji, zdolnych do materializowania operacji ofensywnych w cyberprzestrzeni – nie generuje całkowicie nowych kategorii zagrożeń, lecz dramatycznie zwiększa skalę, szybkość i intensywność tych, z którymi sektor finansowy mierzy się od lat. Mowa przede wszystkim o automatyzacji wykrywania luk w oprogramowaniu, generowaniu phishingu z użyciem deepfake’ów, tworzeniu złośliwego kodu i przyspieszeniu całego cyklu ataku – od identyfikacji podatności po jej eksploatację.

Trzy alarmy w dwa tygodnie

Publikacja polskiego nadzorcy nie powstała w próżni. Piętnaście dni wcześniej, 7 lipca, Europejska Rada ds. Ryzyka Systemowego (ESRB) opublikowała formalne ostrzeżenie o systemowych ryzykach cybernetycznych wynikających z rozwoju modeli Frontier AI. Dokument, datowany na 25 czerwca, powstał po tym, jak Rada Generalna ESRB podniosła w czerwcu ocenę systemowego ryzyka cybernetycznego z poziomu „podwyższone” do „poważne”. ESRB użyła mocnych sformułowań – jej zdaniem nowe modele AI stanowią „zmianę paradygmatu” w cyberbezpieczeństwie, ponieważ pozwalają zamienić wykryte podatności w broń cyfrową w ciągu minut lub godzin, a nie – jak wcześniej – dni czy tygodni.

Tego samego dnia szefowa nadzoru bankowego w EBC, Claudia Buch, rozesłała pismo do zarządów 110 największych banków strefy euro, dając im cztery miesiące – do końca października 2026 – na opracowanie szczegółowych planów przeciwdziałania zagrożeniom generowanym przez AI. Bank of England zajął analogiczne stanowisko, choć w łagodniejszym tonie, a nowojorski Departament Usług Finansowych (NYDFS) już w maju opublikował własne advisory letter skierowane do dyrektorów ds. bezpieczeństwa informacji. Komisja Europejska 7 lipca ogłosiła natomiast Action Plan w sprawie cyberbezpieczeństwa i sztucznej inteligencji, oparty na przepisach AI Act.

Rekomendacje KNF wpisują się zatem w skoordynowaną falę działań regulacyjnych, obejmującą praktycznie cały europejski system nadzoru.

Co konkretnie zaleca UKNF?

Dokument nadzorcy strukturalnie oparty jest na rozporządzeniu DORA (Digital Operational Resilience Act), które od stycznia 2025 roku stanowi fundament regulacji odporności cyfrowej sektora finansowego w Unii Europejskiej. KNF nie wprowadza nowych obowiązków – zamiast tego wskazuje, jak istniejące wymogi DORA powinny być interpretowane w kontekście zagrożeń związanych z Frontier AI.

W perspektywie krótkoterminowej nadzorca oczekuje od instytucji finansowych skupienia się na czterech obszarach:

1. przyspieszenia identyfikacji i łatania podatności w skali masowej, przy założeniu, że czas między wykryciem luki a jej wykorzystaniem przez atakującego drastycznie się skraca.
2. usprawnienia mechanizmów monitorowania i wykrywania, z naciskiem nie na posiadanie dokumentacji, lecz na dowody faktycznego działania systemów ochronnych.
3. weryfikacji, czy dostawcy usług ICT dysponują adekwatnymi mechanizmami zarządzania ryzykiem AI, zwłaszcza w kontekście zależności od zagranicznych dostawców technologii.
4. wzmocnienia ochrony zasobów dostępnych z internetu, w tym infrastruktury perymetrycznej i komponentów open source.

W wymiarze strategicznym UKNF zaleca wdrażanie zasad secure-by-design i secure-by-default, modernizację przestarzałej infrastruktury, redukcję powierzchni ataku oraz przygotowanie planów reakcji na incydenty obejmujących scenariusze z wykorzystaniem AI. Osobno zaznaczono konieczność unikania nadmiernej zależności od jednego dostawcy technologii sztucznej inteligencji – temat, który w obecnym krajobrazie rynkowym, gdzie kilku gigantów technologicznych dostarcza infrastrukturę AI dla setek instytucji, ma wymiar wręcz geopolityczny.

Zarządy banków pod presją

Jeden z najistotniejszych elementów rekomendacji dotyczy roli organów zarządzających. KNF wprost stwierdza, że ryzyko cybernetyczne nie może być traktowane wyłącznie jako kwestia techniczna – to „fundamentalne ryzyko biznesowe”. Zarządy muszą aktywnie angażować się w ocenę wpływu Frontier AI na profil ryzyka organizacji i zapewnić odpowiednie zasoby – finansowe, kadrowe i technologiczne – umożliwiające utrzymanie odporności operacyjnej w warunkach rosnącej liczby ataków.

To sygnał dla polskiego sektora bankowego, który w ostatnich kwartałach inwestował głównie w modele AI służące poprawie doświadczenia klienta, scoringu kredytowego czy automatyzacji procesów back-office. Teraz nadzorca jasno wskazuje, że równoległa linia inwestycji – ta dotycząca obrony – musi rosnąć co najmniej proporcjonalnie.

Czy sektor jest gotowy?

Odpowiedź na to pytanie nie jest jednoznaczna. Z jednej strony polskie banki od lat zajmują wysokie pozycje w europejskich rankingach cyberbezpieczeństwa, a CSIRT KNF regularnie publikuje analizy i ostrzeżenia. Z drugiej – tempo rozwoju modeli AI jest bezprecedensowe. Raport „Krajobraz cyberzagrożeń w polskim sektorze finansowym 2026”, opublikowany przez CSIRT KNF w czerwcu, poświęca osobny rozdział właśnie modelom Frontier AI, wskazując na zacieranie granic między klasycznym cyberatakiem a zaawansowaną socjotechniką napędzaną sztuczną inteligencją.

UKNF zapowiedział, że wdrożenie rekomendacji będzie weryfikowane zarówno w ramach nadzoru bieżącego, jak i podczas inspekcji. Nie wyznaczono wprawdzie twardego terminu – jak zrobił to EBC z datą 31 października – ale charakter komunikatu nie pozostawia wątpliwości: nadzorca oczekuje działań, nie deklaracji.

Dla inwestorów na GPW to sygnał, że w najbliższych kwartałach wydatki polskich banków na cyberbezpieczeństwo mogą istotnie wzrosnąć. To z jednej strony obciążenie kosztowe – z drugiej jednak potencjalny impuls dla firm technologicznych specjalizujących się w rozwiązaniach security, które coraz częściej pojawiają się zarówno na rynku regulowanym, jak i na NewConnect.

Jedno jest pewne: era, w której cyberbezpieczeństwo było tematem wyłącznie dla działów IT, definitywnie się skończyła. Teraz to temat na posiedzenia zarządów, rady nadzorcze i – coraz wyraźniej – dla inwestorów kalkulujących realne koszty prowadzenia biznesu finansowego w erze sztucznej inteligencji.