核心摘要
- 香港证监会（SFC）于2026年6月2日发布通函26EC32及新闻稿26PR77，就前沿AI模型引发的网络安全威胁向所有持牌法团发出正式警告，要求立即审查并加固网络安全框架。
- 香港网络攻击事件在过去一年激增27%，从2024年的12,536起增至2025年的15,877起。SFC将此归因于AI工具的大规模普及降低了发起复杂攻击的技术门槛。
- SFC点名要求持牌机构在三大领域强化防御：补丁与漏洞管理、威胁检测与持续监控、事件响应与系统恢复，并对互联网券商及虚拟资产交易平台（VATP）提出更高优先级。
- SFC执行董事叶志衡明确：高级管理层须承担维护网络韧性与客户资产安全的首要责任，网络风险已被提升至SFC最高监管优先级别。
- 澳大利亚（2026年4月）与日本（2026年5月）已先后发布类似指引，亚太金融监管机构正形成AI网络威胁协同应对的监管共识。
📑 文章目录
- 背景与数据 —— 香港网络威胁态势的量化恶化
- AI赋能攻击类型与风险分析 —— SFC识别的六大威胁向量
- 持牌机构三大合规整改领域 —— 补丁管理、检测监控、事件响应
- 管理层责任与SFC监管路线图 —— 从通函到专题审查的监管升级路径
本文由 Aiying 艾盈合规团队原创，转载需授权。
2026年6月2日，香港证券及期货事务监察委员会（SFC）以通函26EC32（SFC 26EC32，2026-06-02）及新闻稿26PR77（SFC 26PR77，2026-06-02）的形式，向所有持牌法团、SFC持牌虚拟资产交易平台（VATP）及相关注册机构发出正式警告，要求其针对日益严峻的AI赋能网络威胁，立即加固网络安全防线。
这是SFC自2023年虚拟资产发牌制度落地以来，首次以专项通函形式将AI网络安全风险提升至与反洗钱、资本充足同等级别的监管关注高度。通函不仅要求技术层面的防御升级，更明确将网络韧性界定为治理问题，将责任锚定在高级管理层，标志着香港金融监管对AI时代网络安全风险的应对框架发生了质变。
背景与数据：香港网络威胁态势的量化恶化
27%的增长率并非偶然
根据香港电脑紧急事故应变中心协调中心（HKCERT）的数据，香港2025年全年录得15,877起网络安全事件，较2024年的12,536起增长了27%。这已是连续第二年网络攻击数量以超过20%的速度增长（Timothy Loh LLP，2026-06-02）。
SFC在通函中明确指出，这一增长与前沿AI模型（frontier AI models）的大规模普及存在显著因果关系。随着大型语言模型（LLM）、深度伪造（deepfake）生成工具、自动化漏洞扫描器等AI工具的平民化，曾经需要国家级黑客团队才能实施的复杂攻击，如今已降低到单个恶意行为者即可发起的门槛。
亚太监管机构形成联动应对态势
SFC此举并非孤立行动，而是亚太金融监管机构系统性应对AI网络威胁浪潮的一部分。在SFC通函发布前两个月，澳大利亚金融监管机构已于2026年4月发布类似指引，要求持牌金融服务机构加强AI相关网络威胁防御。而日本银行监管机构更于2026年5月中旬设立了专门针对AI相关网络威胁的行业论坛，推动银行业界信息共享与协同防御（FinTech Global，2026-06-05）。
这种跨司法管辖区的协同节奏表明，AI网络威胁已不再被视为单一地区的技术挑战，而是被上升为全球金融稳定议题。对于在香港持牌且同时在其他司法管辖区运营的机构而言，SFC通函与澳大利亚、日本指引的并轨出台意味着跨境合规成本的叠加效应。
AI赋能攻击类型与风险分析
SFC识别的六大威胁向量
通函26EC32详细列举了AI工具为恶意行为者赋能的主要攻击形式。以下按SFC关注程度从高到低梳理：
| 攻击类型 | AI赋能方式 | 对持牌机构的具体风险 |
|---|---|---|
| 深度伪造冒充 | AI生成逼真视频/音频冒充高管或客户 | 欺诈性资金转账指令、KYC身份认证绕过 |
| AI增强钓鱼攻击 | LLM生成语法完美、上下文精准的钓鱼邮件 | 员工凭证窃取、内部系统权限泄露 |
| 自动化漏洞利用 | AI加速系统漏洞扫描与利用链条构建 | 零日漏洞利用窗口缩短、补丁滞后风险剧增 |
| 跨系统协调攻击 | AI编排多系统、多阶段的同步攻击 | 单点防御失效、攻击面指数级扩大 |
| AI辅助侦查 | AI大规模收集目标机构的公开信息与漏洞情报 | 攻击前准备时间大幅缩短、精准度显著提升 |
| 社会工程攻击 | AI分析目标心理特征，定制化诱导策略 | 员工安全意识培训的传统手段失效 |
为什么VATP和互联网券商是SFC的「最高优先」
通函特别点名互联网券商与虚拟资产交易平台作为需要最高级别关注的两类持牌主体。这一区分的背后逻辑在于：
- 攻击面更广：VATP和互联网券商的业务完全依赖于面向公众的在线系统，黑客攻击的切入点远多于传统金融机构。
- 客户资产直接暴露：VATP保管大量客户加密资产——一旦安全防线被攻破，资产可被即时、不可逆地转移，传统银行体系中的追回机制在加密环境中几乎不适用。
- 声誉传导效应：单个VATP的安全事件可能引发用户对整个行业安全性的系统性怀疑，导致大规模客户资产撤离。
持牌机构三大合规整改领域
领域一：补丁与漏洞管理
SFC要求持牌机构建立系统化的补丁管理流程，确保关键安全补丁在发布后的最短时间内完成部署。考虑到AI工具可大幅缩短「漏洞披露→攻击武器化」的时间窗口（传统上需要数周，AI辅助下可能缩短至数小时），持牌机构不能再依赖月度或季度补丁周期，而需要转向持续性的漏洞扫描与即时修补模式。
对于自研交易系统或使用第三方加密基础设施的VATP而言，这一要求意味着不仅需要关注操作系统和网络设备层面的补丁，还必须建立针对智能合约、钱包基础设施、API网关等加密特有组件的漏洞管理机制。
领域二：威胁检测与持续监控
SFC要求持牌机构加强实时威胁检测与持续监控能力。在AI驱动的攻击环境中，传统的基于签名的入侵检测系统（IDS）已不足以应对快速变异的攻击手法。持牌机构应考虑部署以下能力：
- 行为分析系统：检测偏离正常基线模式的异常活动，而非仅依赖已知恶意软件签名。
- AI辅助防御工具：以AI对抗AI——利用机器学习模型识别钓鱼邮件中的细微异常、检测深度伪造内容的数字痕迹。
- 日志集中化与关联分析：确保网络设备、服务器、应用系统、区块链节点的日志统一汇聚并支持跨系统关联查询。
领域三：事件响应与系统恢复
通函要求持牌机构完善网络安全事件响应机制与系统恢复能力。SFC特别强调了两项具体期望：
- 业务连续性计划（BCP）须涵盖AI攻击场景：传统的BCP多以自然灾害或硬件故障为假设前提，持牌机构须将AI驱动的深度伪造欺诈、大规模凭证泄露、自动化分布式拒绝服务（DDoS）等新型攻击场景纳入压力测试。
- 客户资产恢复方案：对于VATP，SFC期望平台有明确的技术方案和法律程序确保在安全事件发生后能够尽快恢复客户对被侵占资产的访问权限——即使这意味着提前部署链上资产冻结、多签阈值调整等应急预案。
管理层责任与SFC监管路线图
「网络韧性是治理问题」
SFC执行董事叶志衡（Dr Eric Yip）在新闻稿中的表态将通函的监管意图表达得极为清晰：
「随着前沿AI模型变得更强大、更易获取，AI赋能的网络威胁将加速并复杂化检测和遏制的任务。持牌机构的高级管理层应承担维护公司网络韧性和客户资产安全的首要责任。」
这一表述有重大的合规含义：SFC不再将网络安全视为IT部门的职能问题，而是将其提升至高级管理层的治理义务。这意味着：
- 持牌机构的负责人员（RO）须在合规报告中体现网络安全风险的评估与应对。
- SFC在后续的现场审查中，将可能直接询问董事会或高管层对网络风险治理的参与程度。
- 在网络安全事件发生后，SFC的执法调查将不仅关注技术漏洞本身，更会审查管理层的预防性监督是否充分。
SFC后续监管行动时间表
| 行动 | 时间 | 说明 |
|---|---|---|
| 发布通函26EC32 | 2026年6月2日 | 持牌机构立即生效的合规指引 |
| 行业网络研讨会 | 2026年（具体日期待公布） | 提升行业对AI网络威胁的认知水平 |
| 专题审查 | 通函发布后启动 | 评估持牌机构的准备情况与网络事件应对能力 |
| 监管措施 | 专题审查结果出炉后 | 根据评估结果采取适当监管行动，可能包括附加牌照条件、罚款或纪律处分 |
对于持牌机构而言，通函发布到专题审查之间的窗口期（预计3-6个月）是关键的合规准备时间。SFC预期在此期间，持牌机构应已完成网络安全的自我评估与整改，并能够向审查团队证明其已建立针对AI威胁的系统化防御框架。
常见问题（FAQ）
SFC通函是否具有法律约束力？不遵守的后果是什么？
SFC通函本身虽非附属法例，但其依据《证券及期货条例》（Cap.571）下持牌法团须维持适当内部监控与风险管理的法定要求发出。持牌机构若不遵守通函中的合理要求，SFC可依据Cap.571对其采取纪律行动，包括公开谴责、罚款、暂时吊销或撤销牌照、以及限制牌照条件。在发生网络安全事件导致客户损失的情况下，不合规记录将被SFC作为加重处罚的因素考量。
VATP持牌平台在AI网络安全方面的合规义务与传统券商有何不同？
SFC通函明确将VATP与互联网券商并列为最高关注级别。相较于传统券商，VATP面临三个额外的合规维度：一是链上资产安全——平台须确保私钥管理、多签机制、热/冷钱包隔离等加密特有安全措施能够抵御AI赋能的攻击；二是智能合约风险——AI工具可加速发现智能合约漏洞并利用其发起攻击；三是跨链互操作风险——多条区块链的对接点成为放大AI攻击面的技术瓶颈。SFC在专题审查中将特别关注VATP在上述维度上的防御措施是否充分。
[法规] 法条依据
本文涉及虚拟资产发牌，以下为相关香港法例依据。
- 证券及期货条例（Cap.571）— 双轨发牌制度：2023年6月起，集中式虚拟资产交易平台须同时获SFC牌照（Type 1+7）和AMLO VASP牌照。现有平台须在过渡期内申请。（监管机构：SFC 证监会）
- 打击洗钱及恐怖分子资金筹集条例（Cap.615）— 双轨发牌制度：2023年6月起，集中式虚拟资产交易平台须同时获SFC牌照（Type 1+7）和AMLO VASP牌照。现有平台须在过渡期内申请。（监管机构：SFC 证监会）
本文基于以下信源综合撰写：SFC新闻稿26PR77（2026-06-02）、SFC通函26EC32（2026-06-02）、Timothy Loh LLP分析（2026-06-02）、FinTech Global（2026-06-05）、The Paypers（2026-06-03）。