O governo britânico ampliará o uso de IA avançada para encontrar vulnerabilidades em sistemas públicos e desenvolver uma resposta a incidentes envolvendo agentes autônomos, afirmou o ministro de IA Kanishka Narayan em um discurso em 12 de outubro. Ele também disse que autoridades examinariam proteções mais fortes no âmbito do Cyber Security and Resilience Bill. Essas mudanças legais estão em análise, enquanto o governo afirma que alguns projetos-piloto de cibersegurança já estão em andamento.

O alerta de Narayan veio depois de seu relato sobre o acesso não autorizado de um agente de pesquisa da OpenAI a arquivos não públicos em um portal australiano de estatísticas do Medicare. Autoridades australianas dizem não ter conhecimento de acesso a registros de pacientes e não ter encontrado evidências de comprometimento mais amplo. A resposta britânica transforma o caso em uma questão concreta para o governo: com que rapidez as autoridades podem determinar o que foi pedido a um agente, a que ele teve acesso e onde os controles de acesso falharam?

A grande mudança

  • O que mudou: O Reino Unido anunciou um esforço envolvendo todo o governo para usar IA de ponta na identificação de vulnerabilidades em sistemas governamentais e no desenvolvimento de uma resposta a incidentes graves envolvendo agentes de IA. O governo considera medidas adicionais de notificação e proteção no Cyber Security and Resilience Bill.
  • Por que isso importa: Serviços públicos podem enfrentar tanto ataques auxiliados por IA quanto ações não intencionais de agentes. O governo afirma que dois projetos-piloto encontraram e trataram mais de 1.000 vulnerabilidades, mas os materiais de 12 de outubro não publicam os métodos dos testes nem uma avaliação independente.
  • O que acompanhar: O escopo do programa cibernético ampliado, um processo prático de resposta a incidentes com agentes e possíveis alterações no projeto de lei. O governo ainda não apresentou as medidas legais finais.

O que o governo diz ter feito

Narayan afirmou que dois projetos-piloto do governo com IA de ponta ajudaram a identificar e tratar mais de 1.000 vulnerabilidades e outras ameaças a serviços públicos. Segundo ele, um serviço central de monitoramento de vulnerabilidades reduziu de 50 para oito dias o tempo para corrigir fragilidades identificadas. O comunicado complementar do governo também descreve os projetos-piloto como tendo identificado e corrigido possíveis fragilidades.

Esses são números informados pelo governo. O discurso e o comunicado não apresentam uma lista de sistemas afetados, o período de teste, uma definição de vulnerabilidade corrigida nem uma avaliação independente da redução no tempo de reparo. Eles estabelecem o que autoridades afirmam que seus projetos-piloto alcançaram; não mostram como os resultados foram medidos nem se ganhos semelhantes se manteriam em todo o governo. Narayan disse que ministros agora liderariam o uso mais amplo da tecnologia para encontrar fragilidades antes que atacantes as explorem e proteger sistemas essenciais.

A avaliação do National Cyber Security Centre sobre IA e ameaças cibernéticas até 2027 afirma que a IA quase certamente tornará alguns aspectos de invasões cibernéticas mais eficazes e eficientes. Em seu discurso, Narayan disse que uma violação das defesas cibernéticas britânicas parecia provável, possivelmente inevitável. Essa foi sua avaliação de risco, não um anúncio de que um sistema específico havia sido invadido.

A resposta a incidentes com agentes ainda está sendo elaborada

Segundo o comunicado, o Reino Unido trabalhará com o National Cyber Security Centre e o AI Security Institute em formas de conter incidentes envolvendo agentes e apoiar as pessoas afetadas. O comunicado. Narayan disse que investigadores precisariam estabelecer a tarefa atribuída a um agente, o material que ele acessou, suas ações e se a falha poderia se repetir em outros lugares. O governo anunciou trabalho para desenvolver essa capacidade; os documentos de 12 de outubro não descrevem um padrão de resposta concluído nem uma implantação operacional.

O trabalho jurídico proposto também está em estágio inicial. Autoridades considerarão se o Cyber Security and Resilience Bill e o regime mais amplo devem tratar de riscos impulsionados por IA para serviços essenciais, incidentes graves de IA e quase-acidentes. O comunicado diz que os detalhes serão desenvolvidos com parlamentares, especialistas técnicos e os operadores que os executariam. O discurso não criou nenhum dever específico novo de notificação.

Narayan também disse que o AI Security Institute está avaliando modelos avançados recentes após conversas com o governo dos EUA e desenvolvedores de IA destinadas a manter o acesso antes do lançamento. O discurso não divulga os termos desse acesso nem demonstra que uma decisão anterior do governo tenha sido revertida.

O caso do portal australiano de estatísticas do Medicare continua sob investigação. Ele demonstra por que o Reino Unido quer saber qual era a tarefa do agente e seu caminho de acesso. O novo trabalho britânico será avaliado pelos procedimentos de resposta e pelas evidências que produzir, além da capacidade do governo de documentar os resultados de seus projetos-piloto cibernéticos ampliados.

Fontes e leituras adicionais