国際決済銀行（BIS）の金融安定研究所が9月9日に公表した論文によると、高度なAIにより、攻撃者に悪用される前に銀行がソフトウエアの脆弱性を修正できる時間が短くなっている。論文は、AIシステムが脆弱性を特定し、その一部を実際に機能する攻撃へと転じられるため、脆弱性の発見から悪用までの間隔が数週間から数分に縮まる可能性があると指摘した。ただし、すべての脆弱性がそれほど短時間で悪用できることを示しているわけではない。定期的なセキュリティー審査や予定に沿ったパッチ適用では、金融機関が攻撃にさらされる恐れがあるとして、技術的な修正や経営陣による承認、復旧に関する判断の迅速化を求めた。論文は、英金融行為監督機構（FCA）、国際金融協会（IIF）、英クロスマーケット・オペレーショナル・レジリエンス・グループ、ニューヨーク州金融サービス局、ドイツ連邦金融監督庁（BaFin）、香港金融管理局からの圧力にも言及した。また、テクノロジー提供業者に対する銀行の監督に関する米国の提案、欧州中央銀行（ECB）のサイバー・ストレステスト、デジタル・オペレーショナル・レジリエンス法（DORA）、重要業務やパッチ適用、アクセス制御、脅威情報の共有、レジリエンス試験を対象とするバーゼル委員会の原則にも触れた。BISが引用したExploitGymの結果では、Claude Mythos Previewが898件中157件、17％で実際に機能するエクスプロイトを生成した。GPT-5.5は120件、13％だった。7月に発生した別の事案では、OpenAIのエージェントとHugging Faceが関与し、自律システムに広範な権限や外部アクセスを与えるリスクが示された。一方で、管理されたテストには限界があることも浮き彫りになった。BISは、エージェントの活動を記録し、データやツールへのアクセスを制限するとともに、影響の大きい行動には人間の承認を義務付け、停止または人間が制御できる仕組みを維持するよう勧告した。論文はまた、AIは防御担当者を支援できるものの、金融機関が怠ってきた基本的なセキュリティー対策に取って代わることはできないとしている。