欧洲央行（ECB）要求您在2026年10月31日前提交 AI 网络安全行动计划。

1. 01

   欧洲央行 SSM-2026-0301 号函，第 1 页和第 2 页

   制定全面的行动计划并按时提交

   信函的内容

   立即评估 AI 赋能威胁的影响，并制定一份全面的行动计划，其中包含具体措施、所需资源、明确的角色与职责分工以及实施时间表。该计划以您现有的网络风险战略为基础，涵盖短期优先事项和长期结构性措施，并于2026年10月31日前提交至您的联合监管小组。

   来源：欧洲央行 SSM-2026-0301 号函，第 1 页和第 2 页

   对您的移动应用意味着什么

   计划中需要有一个应用安全工作流，明确负责人、资源和日期，而不是一份意向声明。监管机构将对照该计划监督进展。

   Ostorlab 如何提供帮助

   Ostorlab 为应用工作流提供可衡量的内容：每款应用的发现基线、以工单形式跟踪的修复，以及可作为进展汇报的复测结果。

   仍由您负责的部分

   计划本身、其治理、预算和资源配置决策，以及与联合监管小组的沟通。

2. 02

   欧洲央行 SSM-2026-0301 号函，第 1 页

   立即关闭未结的监管发现

   信函的内容

   处理重点 ICT 领域中未结的监管发现和措施，以及在现场检查、专项审查和 2024 年网络韧性压力测试中已识别出的安全风险。随着威胁加速，未解决的薄弱环节可能变得愈发重大。

   来源：欧洲央行 SSM-2026-0301 号函，第 1 页

   对您的移动应用意味着什么

   如果此前的检查或渗透测试在您的数字渠道中发现了问题，计划应表明这些问题已经关闭，或已有注明日期的关闭路径。

   Ostorlab 如何提供帮助

   对此前审查中的应用和 API 发现进行复测，表明哪些已经修复，并为每项结果提供证据。

   仍由您负责的部分

   跟踪监管发现，并向监管机构报告其关闭情况。

3. 03

   附件 1，重点领域 1

   优先保护您的攻击面

   信函的内容

   识别 ICT 资产，包括第三方软件和开源组件，以确定修复的优先顺序。尽量缩减并持续监控所有面向互联网和对外暴露的资产，并在修复中优先处理边界技术。

   来源：附件 1，重点领域 1

   对您的移动应用意味着什么

   您的移动应用、其调用的 API 以及其中嵌入的 SDK 都属于对外暴露的资产，而每次应用发布都会改变这一攻击面。

   Ostorlab 如何提供帮助

   Ostorlab 测试客户下载的版本及其调用的 API，列出每个版本中的 SDK 和原生库，并在发布前发现 API 密钥和令牌等硬编码密钥。攻击面发现功能帮助您找出对外暴露的应用和资产。

   仍由您负责的部分

   边界设备、VPN、云环境以及其余对外暴露的资产。

4. 04

   附件 1，重点领域 2

   规模化加快漏洞与补丁管理

   信函的内容

   按优先级排序的漏洞扫描可能有助于机构应对漏洞发现速度和数量的不断增长。为更频繁、更大量的补丁更新做好准备，包括自研软件的补丁，并通过变更管理实现快速、基于风险的修复，同时保持运营稳定。

   来源：附件 1，重点领域 2

   对您的移动应用意味着什么

   自研的移动应用属于自研软件：预计修复会更多、更频繁，因此要规划能跟上每次发布的测试。

   Ostorlab 如何提供帮助

   每次发布都会运行扫描。AI 智能体渗透测试为每个 AI 智能体发现附上可重放的有效漏洞利用，误报率保持在 5% 以下，因此待处理队列按实际可被利用的程度排序。

   仍由您负责的部分

   补丁期限、变更管理以及 ICT 部门的人员配置。

5. 05

   附件 1，重点领域 2 和 5

   在具备保障措施和人工监督的前提下使用基于 AI 的工具

   信函的内容

   基于 AI 的工具可以作为漏洞扫描的补充，前提是在部署前对其收益和风险进行全面评估，并始终受适当的保障措施、人工监督和稳健的风险管理约束。AI 辅助的防御工具可以帮助银行跟上节奏，前提是在部署时配备适当的治理、验证和人工监督。

   来源：附件 1，重点领域 2 和 5

   对您的移动应用意味着什么

   如果您将 AI 测试工具纳入计划，请记录评估内容：该工具可以访问什么、数据流向何处、结果如何验证以及由谁审查。

   Ostorlab 如何提供帮助

   您可以检查每条验证路径，包括所做的决策、工具输出和执行的步骤。借助 BYOK，AI 在您自己的模型服务商账户上运行，使用您的凭据和您选择的模型，并设有单次扫描支出上限。Ostorlab 已通过 SOC 2 Type II 审计，并提供本地部署扫描。

   仍由您负责的部分

   依据您自己的 AI 和 ICT 风险政策，对该工具进行风险评估和审批。

6. 06

   附件 1，重点领域 3

   加强监控与检测

   信函的内容

   加强对应用和访问日志、网络流量及其他指标的监控，以检测入侵指标和漏洞利用企图，尤其是在面向互联网的应用、云存储库和关键内部系统中。

   来源：附件 1，重点领域 3

   对您的移动应用意味着什么

   检测是一项运行时的运营能力，与在发布前后测试应用是两回事。

   Ostorlab 如何提供帮助

   该领域不在 Ostorlab 的范围之内。Ostorlab 测试您的应用和 API，不监控生产环境的日志或流量。

   仍由您负责的部分

   安全监控、检测工程以及您的安全运营中心。

7. 07

   附件 1，重点领域 4

   加强治理、资金投入和供应链保障

   信函的内容

   管理机构应检查 ICT 预算、人员配置、工具和变更能力是否充足。银行仍须对外包的 ICT 服务承担全部责任，并需要了解其服务提供商对加速漏洞披露和补丁发布的准备程度。应审查风险偏好框架，包括针对更频繁补丁更新的指标和容忍阈值。

   来源：附件 1，重点领域 4

   对您的移动应用意味着什么

   您应用中的 SDK 供应商和您的安全工具供应商都属于这一供应链，而修复严重应用发现所需时间等指标应纳入风险偏好框架。

   Ostorlab 如何提供帮助

   SCA 显示每个版本附带了哪些第三方组件，将其与已知漏洞对应，并逐个版本跟踪其关闭情况。Ostorlab 自身的控制措施请见信任中心，其 SOC 2 Type II 报告可应要求提供。

   仍由您负责的部分

   预算、培训、供应商评估以及风险偏好指标本身。

8. 08

   附件 1，重点领域 5

   强化纵深防御，内建安全

   信函的内容

   假定边界防御会被突破。采用零信任原则，包括持续验证用户、设备、应用、API 和服务账户；保持多因素认证等强有力的基线控制；采用安全设计（security by design）的开发方式，在部署前减少漏洞；并替换或保护遗留技术。

   来源：附件 1，重点领域 5

   对您的移动应用意味着什么

   对于银行应用，每次 API 调用都应在服务器端进行授权，应用应在被入侵的设备上保护自身，安全检查应在每次发布前运行，而不是在事件发生之后。

   Ostorlab 如何提供帮助

   Ostorlab 测试应用背后失效的访问控制检查（BOLA、BFLA、IDOR）、MFA 强制执行和会话处理，以及 Root 和越狱检测、防篡改和 TLS 证书固定等防护在运行时是否有效。发布流水线中的静态和动态测试为安全设计提供支持。

   仍由您负责的部分

   网络分段、身份架构和遗留系统替换。

9. 09

   附件 1，重点领域 6

   提升运营韧性与信息共享

   信函的内容

   按照 DORA 定期测试危机管理、事件响应、备份、故障切换和恢复安排，包括开展高速、大规模攻击场景和供应链中断的演练，并通过可信机制共享威胁和漏洞信息。

   来源：附件 1，重点领域 6

   对您的移动应用意味着什么

   这些演练测试的是您的组织如何应对，而不是应用代码。

   Ostorlab 如何提供帮助

   该领域不在 Ostorlab 的范围之内，不过来自真实发现的可重放漏洞利用可以让演练场景更加具体。

   仍由您负责的部分

   危机管理、备份与恢复测试，以及信息共享。

本页概述了欧洲央行2026年7月7日发布的 SSM-2026-0301 号函及其附件 1。本页不构成法律意见。