I ministri delle Finanze e i governatori delle banche centrali del G7 — che rappresentano Canada, Francia, Germania, Italia, Giappone, Regno Unito e Stati Uniti — hanno concordato di svolgere esercitazioni tavolo che simulano attacchi informatici guidati dall'IA al sistema finanziario, secondo quanto annunciato dal ministro delle Finanze giapponese Satsuki Katayama.

L'obiettivo è mettere alla prova il modo in cui regolatori e banche rileverebbero, conterrebbero e si riprenderebbero da una simile violazione. Le esercitazioni tavolo sono simulazioni basate su scenari in cui i partecipanti esaminano passo dopo passo un attacco simulato, testando il processo decisionale e il coordinamento senza toccare i sistemi in produzione.

Il G7 approva il piano di simulazione

Katayama ha dichiarato che i ministri hanno approvato i piani durante le riunioni svolte a margine delle assemblee annuali dell'FMI a Bangkok. I vice per le Finanze avevano discusso simulazioni incentrate sull'IA di frontiera prima che i ministri approvassero la proposta. Il piano è stato riportato dal Financial Times e da Reuters.

Secondo la proposta concordata, i ministeri delle Finanze e le banche centrali del G7 simuleranno attacchi informatici per verificare quanto rapidamente riescono a rilevare le violazioni, contenerle e ripristinare i sistemi. I risultati serviranno ad aggiornare i piani di risposta alle crisi esistenti.

Un funzionario del ministero delle Finanze giapponese presente all'incontro ha detto che le esercitazioni si concentreranno in modo specifico sugli attacchi potenziati dall'IA.

Anche banche private e grandi istituti finanziari potrebbero partecipare, a seconda dello scenario, per verificare la capacità dell'intero sistema finanziario di riprendersi da un attacco. Le esercitazioni sono pensate per valutare le salvaguardie esistenti, aggiornare i piani di risposta e individuare le lacune nella cibersicurezza transfrontaliera.

Perché i regolatori si sono rivolti alle simulazioni

Le esercitazioni proposte arrivano in un contesto di avvertimenti da parte dell'FMI e delle banche centrali secondo cui le frodi e i crimini informatici guidati dall'IA minacciano sia la stabilità finanziaria sia la fiducia del pubblico nei grandi istituti.

Il 14 ottobre, due giorni prima dell'annuncio, il governatore della Banca d'Inghilterra Andrew Bailey e il direttore generale dell'FMI Kristalina Georgieva hanno avvertito, durante riunioni con l'FMI e la Banca mondiale a Bangkok, che il crim informatico basato sull'IA sta escalate rapidamente e potrebbe erodere la fiducia nel sistema finanziario.

L'IA sta accelerando gli attacchi informatici aiutando i criminali ad automatizzare il phishing e a produrre documenti falsi convincenti, identificando allo stesso tempo le debolezze del software più rapidamente di quanto i team umani possano reagire.

Non la prima esercitazione del G7

Il 18 maggio 2026, il Cyber Expert Group del G7 — un organismo costituito nel 2015 per coordinare le politiche di cibersicurezza tra le autorità finanziarie del blocco — ha simulato un attacco malware alle infrastrutture tecniche condivise nel settore finanziario, coinvolgendo 24 organizzazioni dei paesi del G7, tra cui banche centrali, regolatori finanziari, ministeri delle Finanze e società private.

Le esercitazioni proposte adotterebbero un approccio diverso: testare come gli istituti finanziari rispondono quando gli aggressori usano l'IA per lanciare attacchi informatici, invece di concentrarsi esclusivamente sulla difesa dei sistemi di IA dalle minacce.

Katayama aveva già suggerito a luglio che il G7 intendeva discutere standard comuni di sicurezza dell'IA e di difesa informatica per le banche, indicando che l'annuncio di ottobre è maturato dopo mesi di preparazione.

Le banche si stanno già preparando

Le banche hanno già iniziato ad agire per contrastare questi rischi. Il 13 ottobre, tre giorni prima dell'annuncio, l'amministratore delegato di JPMorgan Chase Jamie Dimon ha detto agli investitori nella call sui risultati del terzo trimestre che la banca aveva impedito agli agenti IA esterni di accedere direttamente ai conti dei clienti.

Dimon ha detto che JPMorgan non avrebbe consentito ad agenti IA esterni di accedere ai suoi sistemi senza restrizioni, citando i rischi sia per i clienti sia per la banca. Ha avvertito che gli agenti incontrollati potrebbero contarsi a migliaia.

Anche Bank of America ha preso le proprie precauzioni, assumendo centinaia di collaboratori esterni per correggere le vulnerabilità individuate dagli strumenti di IA nei suoi sistemi.

L'esercitazione del G7 estende questo approccio al sistema finanziario nel suo complesso, testando come le autorità risponderebbero a un attacco guidato dall'IA rivolto a reti di pagamento condivise o a software bancari ampiamente utilizzati in più paesi contemporaneamente. Dettagli da seguire con l'avanzare del piano includono gli scenari scelti, gli istituti privati che parteciperanno e se i risultati dell'esercitazione plasmeranno gli standard comuni di sicurezza dell'IA e di difesa informatica per le banche segnalati da Katayama a luglio.