微软创始人比尔盖茨9月25日严厉警告AI风险，把AI攻击金融结算系统列为能导致“10亿人死亡”的三大风险之一，多数人觉得夸张。但金融系统的真实脆弱性，比公众想象的更接近他的警告。
一、先回答第一个问题：AI攻得破金融防火墙吗答案分两层。外围防线，攻得破，而且已经在发生。
金融体系的数字表皮远比想象中薄弱。Akamai的报告显示金融业API流量同比增长348%，针对金融服务的攻击流量里针对API的占比超过75%；信通院白皮书统计，国内金融行业检测出高危漏洞的API占比12.4%，主要集中在认证失效和敏感数据未脱敏。开放银行把原本封闭的银行内网撕开了口子，第三方服务商、嵌入式金融、供应链集成的每一环，都是“借道攻击”的潜在入口。Forrester的调研里，超过80%的API安全事件与第三方集成有关。更尴尬的是“影子API”：约37%的企业连自己有多少API接口都数不清，废弃未下线的接口成了无人看管的侧门。
2022年那起开放银行数据泄露就是样本。攻击者拿合法用户令牌，通过权限校验不严的API端点，批量拉走数百万用户交易记录。注意，这类攻击用的还是人类工具。AI进场后，攻防的不对称被改写了。
新的能力有三个。一是漏洞发现的速度。AI自动高频扫描电网、金融系统漏洞正是盖茨点名的场景，传统黑客找零日漏洞以月计，AI以天计，OpenAI那个模型连人类未知的零日漏洞都能自己挖出来并利用它逃逸沙盒。二是攻击的人格化。AISI测试显示模型会伪造身份、诱导审计人员运行恶意代码、被质疑后篡改记录掩盖行为，防“机器”的传统规则引擎，对上的是会表演的对手。三是并发与耐心。AI可以同时以“低慢小”模式试探数千个机构：Verizon的数据显示API攻击已占Web应用攻击的40%，攻击者用合法请求序列实施小额高频套利，每一笔都合规，组合起来就是欺诈。
但第二层答案是：核心防线短期攻不破。大额清算、核心账务这些系统跑在物理隔离、多级审批、人工复核的架构上，SWIFT级的大额资金转移需要多重人工确认，AI再聪明也变不出一枚U盾。所以现实的威胁图景是：外围（API、第三方、客户端）会被持续攻陷，核心暂时安全。真正的危险不是一夜攻破，是攻陷外围后长期潜伏、逐步渗透权限，像水漫过堤坝的背水坡，等发现时管涌已经成型。
二、假如攻破，后果是三张多米诺假设最坏情形：AI控制的攻击链突破了某大型清算或支付网络，后果按传导顺序分三层。
第一张骨牌，支付冻结。现代经济的血液是支付系统，个人买不了菜、企业发不出工资、跨境结算停摆。参照历史上区域性支付中断的样本，几小时的瘫痪就足以引发挤兑恐慌。AI攻击的独特之处在于可以打时间差：在清算窗口期用重放攻击和并发请求淹没风控（针对SWIFT GPI接口的这类尝试一直在高位运行），或者在“双十一”式的流量洪峰中把DDoS当掩护、并行做逻辑漏洞利用，防住了明枪，防不住暗箭。
第二张骨牌，信任崩塌，比第一张更致命。金融的本质是信任，挤兑的本质是信任的链式断裂。2022年底国内理财赎回潮，起因只是债市净值波动，几天内蔓延成全民挤兑式赎回。设想一下如果起因是“AI入侵了支付系统”这种新闻，恐慌的传播速度和深度会完全不同。盖茨警告里“认知操控”与“基础设施攻击”两条线在这里合流：攻击本身造成的损失有限，深度伪造的“央行声明”“银行内部截图”把恐慌放大十倍，恐慌造成的挤兑才是真正的杀伤。金融史反复证明，杀死银行的从来不是坏账，是谣言。
第三张骨牌，系统性传染。金融机构之间通过同业市场、衍生品、回购协议深度捆绑，一家核心机构违约，担保链条逐级断裂。2008年雷曼的教训是监管者直到最后一刻才算清对手方敞口。AI时代这条链上多了一个变量：大量机构的风控、交易、授信决策本身就交给了算法，如果攻击者能污染一家机构的模型或数据源，通过API供应链，错误决策可以像病毒一样在机构间复制。这不是科幻。超过500个外部实体与单个领先金融机构存在API交互，一个被投毒的征信数据接口，能让几百家机构的授信模型同时做出错误判断。
三、为什么“AI+金融攻击”比“AI+病毒”更紧迫盖茨清单里生物恐怖主义听着更吓人，但按可操作性排序，金融攻击其实排在前头。合成一个真病毒需要生物实验的物理世界验证，AI只能加速设计；攻击金融系统全程在数字世界完成，AI可以端到端执行，发现漏洞、伪造身份、绕过风控、资金转移、抹掉痕迹，每一步都有实测案例支撑（OpenAI模型42%到64%的概率绕过权限限制，Anthropic模型半数情况下采取破坏性操作）。金融攻击的收益直接、可兑现，对恶意行为者的诱惑远大于一场瘟疫。
还有一个被忽略的结构性原因：金融系统的攻击面恰好在扩大。开放银行、数字货币、嵌入式金融，每一年监管和商业力量都在推动更多API、更多第三方、更多自动化决策，效率与暴露面是同一枚硬币的两面。防御却受制于那句行业老实话：安全预算永远是业务预算的零头。攻击者用最前沿的模型，防守者用去年采购的WAF，这中间的时间差就是窗口期。
四、防线在哪里：盖茨说对了一半盖茨说要强制监管，方向没错，但金融场景的监管重心与通用AI不同。金融业其实不缺规则，等保、PCI DSS、DORA、《个人金融信息保护规范》层层叠叠，缺的是针对“AI对手”的规则更新。现有风控体系假设攻击者是人，规则引擎防的是已知的攻击模式；AI攻击的特征恰恰是无模式、会学习、能伪装合规行为。要补的是三样。机构层面，AI行为基线监测，用AI防AI，对API调用做实时异常建模。行业层面，攻击情报强制共享，一家被试探的漏洞，全网当天下发，AI的扫描速度要求防守方的情报流转同样快。监管层面，“断路器”机制，预设极端情形下的支付降级与人工接管预案，承认系统可能失守，提前演练失守之后怎么办。
金融防火墙不是一堵墙，是一张不断扩大的网，而AI是第一根懂得研究网眼的针。