فاطمه سبزه‌ای؛ پژوهشگر مستقل در حوزه حکمرانی فناوری مالی و هوش مصنوعی

چند سالی است که هوش مصنوعی از یک فناوری آینده‌نگر و تا حدی انتزاعی، به بخشی از زیرساخت واقعی تصمیم‌گیری در سازمان‌ها تبدیل شده است. در حوزه امنیت سایبری هم همین اتفاق افتاده است؛ انتظار می‌رفت این فناوری بتواند حجم داده‌ای را که دیگر از توان تحلیل انسانی خارج شده، تحلیل کند، الگوهای غیرعادی را زودتر تشخیص دهد و کمک کند که یک هشدار کوچک به یک بحران بزرگ تبدیل نشود. و راستش، بخش زیادی از این انتظارات به‌حق بود.

اما یک نکته هست که معمولاً کمتر به آن پرداخته می‌شود: مدلی که یک تیم امنیتی برای خلاصه‌کردن هشدارها یا پیداکردن الگوهای مشکوک استفاده می‌کند، دقیقاً همان مدلی است که در سمت دیگر میدان هم قابل استفاده است؛ برای تولید پیام فریبنده، برای شخصی‌سازی یک ایمیل فیشینگ، یا برای انجام سریع‌تر بخش‌های تکراری یک عملیات سایبری. گزارش Microsoft Digital Defense Report 2025 هم به همین موضوع اشاره می‌کند: استفاده تهدیدگران از فیشینگ مبتنی بر هوش مصنوعی و زنجیره‌های حمله چندمرحله‌ای، در کنار ادامه سوءاستفاده از آسیب‌پذیری‌های قدیمی و شناخته‌شده.

برای ما که فارسی‌زبان هستیم، این موضوع یک لایه اضافه هم دارد. تا همین چند سال پیش، غلط‌های نگارشی یا لحن عجیب، یکی از راحت‌ترین نشانه‌ها برای تشخیص یک پیامک یا ایمیل فیشینگ بود ـ خیلی از پیام‌هایی که به اسم بانک یا یک سرویس پرداخت می‌آمدند، به همین سادگی مشخص می‌شدند. اما حالا دیگر تولید یک متن فارسی روان و بی‌غلط کار سختی نیست و همین نشانه قدیمی، که سال‌ها به آن اعتماد می‌کردیم، عملاً از رده خارج شده است.

با همه این‌ها، درست به نظر نمی‌رسد که تصور کنیم هوش مصنوعی یک‌شبه مهاجم‌ها را به هکرهای حرفه‌ای تبدیل کرده است. عملیات‌های پیچیده هنوز به شناخت محیط هدف، تجربه و یک‌سری تصمیم انسانی نیاز دارند که هیچ مدلی جایگزینشان نمی‌شود. چیزی که واقعاً تغییر کرده، بیشتر به بهره‌وری برمی‌گردد تا هوشمندی.

برای یک مهاجم، وقت و نیروی انسانی هزینه دارد. اگر بخشی از کارهای زمان‌بر ـ مثلاً نوشتن ده‌ها نسخه از یک پیام فیشینگ با لحن‌های مختلف برای گروه‌های مختلف ـ سریع‌تر انجام شود، همان مهاجم با همان منابع قبلی می‌تواند اهداف بیشتری را امتحان کند. به همین دلیل، شاید عبارت «هوش مصنوعی حمله را هوشمندتر کرده» چندان درست نباشد؛ تعبیر درست‌تر شاید این باشد که AI بعضی حمله‌ها را ارزان‌تر، سریع‌تر و در مقیاس بزرگ‌تر ممکن کرده است.

این فقط یک تغییر فنی نیست، یک تغییر اقتصادی هم هست. امنیت سایبری همیشه یک رقابت اقتصادی بوده است؛ مهاجم دنبال بیشترین نتیجه با کمترین هزینه است و مدافع باید هزینه دفاع را در سطحی نگه دارد که کسب‌وکار بتواند تحملش کند. وقتی فناوری هزینه اجرای بخشی از حمله را پایین می‌آورد، طرف دفاع هم مجبور می‌شود مدلش را عوض کند.

حالا سؤال این است که آیا سازمان‌ها باید ابزار بیشتری بخرند؟ تجربه چند سال اخیر می‌گوید نه، نه همیشه. سازمانی که ده‌ها ابزار امنیتی دارد، ولی نمی‌داند کدام هشدار واقعاً مهم است یا مسئولیت واکنش با کیست، الزاماً امن‌تر از سازمانی نیست که ابزار کمتری دارد، اما یک فرآیند مشخص برای تحلیل و بازیابی طراحی کرده است. هوش مصنوعی هم این قاعده را عوض نمی‌کند؛ اگر داده ورودی ناقص باشد یا فرآیند تصمیم‌گیری از ابتدا خراب باشد، اضافه‌کردن AI معمولاً همان مشکل را فقط سریع‌تر تکرار می‌کند.

از این‌جا به بعد، بحث دیگر فقط مربوط به تیم فناوری نیست؛ به اتاق مدیریت هم کشیده می‌شود. وقتی یک سازمان یک مدل هوش مصنوعی را وارد فرآیندهای حساس می‌کند، باید معلوم باشد چه داده‌ای وارد آن می‌شود، خروجی‌اش چقدر قابل اعتماد است،. چارچ را بررسی می‌کند و اگر مدل اشتباه کرد، مسئولیت با چه کسی است. چارچوب مدیریت ریسک NIST هم دقیقاً همین نگاه چرخه‌عمر را دنبال می‌کند و در سال ۲۰۲۴، یک پروفایل اختصاصی برای هوش مصنوعی مولد هم به‌عنوان مکمل همین چارچوب منتشر کرد.

چرا در صنعت مالی این موضوع جدی‌تر است

در صنعت مالی، وابستگی به زیرساخت فناوری چنان زیاد است که اختلال در یک سامانه می‌تواند خیلی سریع به بخش‌های دیگر زنجیره خدمات برسد. به همین خاطر، تاب‌آوری عملیاتی دیجیتال در این چند سال اهمیت بیشتری پیدا کرده است. مثال روشنش DORA در اروپاست؛ مقرراتی که از ۱۷ ژانویه ۲۰۲۵ اجرایی شده است و فقط درباره جلوگیری از حمله نیست، بلکه مدیریت ریسک ICT، ریسک طرف ثالث، آزمون تاب‌آوری، گزارش رخداد و توانایی بازیابی را هم شامل می‌شود. نکته‌ای که کمتر به آن توجه می‌شود و البته جالب و حائز اهمیت است، این است که در متن DORA، مسئولیت این چارچوب فقط بر دوش تیم فناوری نیست؛ هیئت‌مدیره مؤسسه مالی هم مسئولیت مستقیم دارد.

برای صنعت مالی ایران هم این حرف چندان دور از واقعیت نیست. بانکداری دیجیتال، خدمات غیرحضوری، APIها و پرداخت الکترونیکی، وابستگی کسب‌وکارها به زیرساخت فناوری را خیلی بیشتر از قبل کرده است. کافی است به شبکه شتاب فکر کنیم؛ عملاً ستون فقرات تراکنش‌های بین‌بانکی کشور، که هر اختلال در آن، هم‌زمان چند بانک و ده‌ها سرویس وابسته را درگیر می‌کند. هرچه این وابستگی بیشتر شود، مرز بین امنیت فناوری و تداوم کسب‌وکار کمرنگ‌تر می‌شود.

در چنین فضایی، هوش مصنوعی می‌تواند فرصت واقعی باشد؛ به تحلیلگر کمک کند حجم بیشتری از داده را ببیند، الگوهایی پیدا کند که از چشم انسان جا می‌ماند و زمان واکنش را کم کند. اما همین فناوری، اگر بدون سیاست‌گذاری روشن، کنترل دسترسی و نظارت انسانی وارد سازمان شود، ریسک تازه‌ای هم می‌سازد. از این‌رو، NIST هم امنیت و تاب‌آوری را جزو ویژگی‌های قابل اعتماد بودن سامانه‌های AI می‌داند و می‌گوید بخشی از ریسک‌های هوش مصنوعی، همان ریسک‌های کلاسیک امنیت نرم‌افزار و داده است، فقط با شکل جدید و تازه.

شاید به همین دلیل، پرسیدن این‌که هوش مصنوعی خوب است یا بد، چندان به جایی نمی‌رسد. پرسش واقعی‌تر این است که یک سازمان چقدر برای استفاده مسئولانه از آن آماده است، و این آمادگی معمولاً ربطی به این ندارد که چه کسی چه کسی زودتر یک مدل جدید خریده است، بلکه برمی‌گردد که کدام سازمان داده بهتری دارد، فرآیند روشن‌تری طراحی کرده و برای روزی که فناوری طبق انتظار عمل نمی‌کند، برنامه دارد.

تحلیلگر امنیتی در آینده احتمالاً وقت کمتری صرف هشدارهای تکراری می‌کند و وقت بیشتری برای تصمیم‌های دشوار می‌گذارد؛ و مدیر امنیت هم کمتر با این پرسش که «چه ابزاری بخریم؟» روبه‌رو می‌شود و بیشتر باید پاسخ دهد که چه ریسکی را می‌پذیرد و چطور کنترلش می‌کند. مهاجم‌ها هم البته همین مسیر را دنبال می‌کنند. همان فناوری‌ای که سرعت دفاع را بالا می‌برد، می‌تواند سرعت حمله را هم بیشتر کند و رقابت واقعی آینده نه بین انسان و ماشین، که بین سازمان‌هایی است که فناوری را کنار حکمرانی و مدیریت ریسک به کار می‌گیرند و سازمان‌هایی که فکر می‌کنند خرید یک ابزار جدید به‌تنهایی مسئله را حل می‌کند.

هوش مصنوعی، در نهایت، بیشتر شبیه یک ضریب است تا یک ناجی یا یک تهدید؛ توان یک سازمان آماده را چند برابر می‌کند و ضعف یک سازمان بی‌برنامه را هم زودتر نمایان می‌سازد. پرونده حاضر هم دقیقاً از همین نقطه شروع می‌شود: جایی که دیگر نمی‌شود درباره امنیت سایبری حرف زد، بدون آن‌که هم‌زمان از اقتصاد حملات، تاب‌آوری عملیاتی و کیفیت تصمیم‌گیری انسان‌ها صحبتی نباشد.