BCE in allerta: cyberattacchi AI alle banche, la vera partita è il tempo di patch

Il contesto: AI offensiva e collasso del MTTP

La Banca Centrale Europea ha convocato gli istituti dell'area euro sull'impatto dei foundation model applicati alla vulnerability research automatizzata. Il riferimento operativo è il modello Claude Mythos Preview di Anthropic e il programma Glasswing, che ha già prodotto oltre 10.000 vulnerabilità high/critical in pipeline di scoperta semi-autonoma.

L'asimmetria che preoccupa i regolatori è strutturale: la vulnerability discovery si automatizza con LLM agentici, mentre la remediation resta vincolata a finestre di change management, dipendenze legacy e processi di validazione manuali. Il Mean Time To Patch (MTTP) medio del settore bancario — stimato su intervalli di settimane per patch critiche fuori dai cicli standard — diventa incompatibile con un Mean Time To Exploit (MTTE) che gli LLM stanno comprimendo a poche ore.

Il collo di bottiglia operativo

Frank Elderson (BCE) impone la soglia: applicare aggiornamenti "in ore o minuti, non in settimane". I vincoli che lo rendono difficile sono noti agli operatori SecOps bancari:

• Legacy stack interdipendenti — mainframe core banking, middleware ESB, layer di integrazione con vincoli di compatibilità che impediscono patch idempotenti
• Concentrazione su vendor condivisi — third-party risk supply-chain (es. core banking, KYC, payment gateway): una singola CVE su componente condiviso produce exposure correlata su decine di istituti contemporaneamente
• Change windows rigide — release management con freeze finestrali, RTO/RPO che impongono test di non-regressione lunghi
• Compensating controls non orchestrati — WAF rules, virtual patching e network segmentation spesso applicati ad-hoc anziché tramite playbook automatizzati

L'effetto sistemico: una n-day su componente diffuso (es. middleware, libreria crittografica, agent EDR) si propaga prima che la maggior parte degli istituti completi il rollout della patch. Il rischio cessa di essere idiosincratico e diventa rischio sistemico finanziario.

Le richieste BCE — traduzione operativa

1. Asset inventory verificabile — CMDB allineato a SBOM (Software Bill of Materials, conforme NTIA), con tracciamento dipendenze transitive
2. Patch orchestration con emergency lane — pipeline CI/CD parallele per hotfix, canary deployment automatizzato, rollback policy testate
3. Compensating controls codificati — virtual patching IPS/WAF con regole versionate, micro-segmentazione zero-trust attivabile via API
4. Adversarial testing realistico — red teaming con TTP aggiornati al threat landscape AI-augmented (MITRE ATT&CK + AI-specific TTPs)
5. Threat intelligence sharing — FS-ISAC e canali interbancari nazionali (CERTFin in Italia) per IoC e lesson learned su CVE in attiva exploitation

Estensione al perimetro NIS 2 / DORA

La direttiva NIS 2 e il regolamento DORA (in vigore da gennaio 2025) impongono già obblighi sovrapposti: risk management ICT, incident reporting entro 24h, ICT third-party risk management, resilience testing (incluso TLPT — Threat-Led Penetration Testing). La pressione BCE accelera il convergere dei framework su un unico KPI operativo: comprimere il delta MTTP – MTTE.

Per le aziende italiane in perimetro NIS 2 (soggetti essenziali e importanti) la traduzione tecnica è netta:

• VMaaS continuo — scansioni autenticate ricorrenti, prioritizzazione EPSS + KEV CISA + contesto asset (non solo CVSS base)
• SOC 24/7 con detection AI-aware — correlazione IoC su CVE in active exploitation, hunting su TTP riconducibili a scanner automatizzati
• Patch & virtual patching orchestrati — automazione su endpoint, network e application layer; SLA differenziati per criticità e exposure
• Tabletop e TLPT periodici — scenari di n-day su vendor condiviso e di catena di approvvigionamento

In sintesi

L'AI generativa applicata alla vulnerability research sposta l'equilibrio attaccante-difensore. La metrica che conta non è più la coverage del vulnerability management, ma il tempo di chiusura del gap MTTP/MTTE. Per le banche è stabilità sistemica. Per le imprese in perimetro NIS 2 / DORA è obbligo regolatorio e prerequisito di continuità operativa.

Fonte: cybersecurity360.it, 25 maggio 2026 — rielaborazione tecnica TIM Business / Telsy.