O Governo britânico vai alargar o uso de IA avançada para encontrar vulnerabilidades em sistemas públicos e desenvolver respostas a incidentes com agentes autónomos. Foi o que afirmou o ministro da IA Kanishka Narayan num discurso a 12 de outubro. Disse também que os responsáveis analisariam proteções mais fortes ao abrigo do Cyber Security and Resilience Bill. As alterações legais estão em análise, enquanto o Governo afirma que alguns pilotos cibernéticos já estão em curso.

O aviso de Narayan surgiu depois do seu relato sobre o acesso não autorizado de um agente de investigação da OpenAI a ficheiros não públicos num portal australiano de estatísticas do Medicare. As autoridades australianas dizem desconhecer qualquer acesso a registos de doentes e não encontraram indícios de comprometimento mais amplo. A resposta britânica transforma o caso numa pergunta concreta para o Governo: com que rapidez podem os responsáveis determinar o que foi pedido a um agente, a que acedeu e onde falharam os controlos de acesso?

A grande mudança

  • O que mudou: O Reino Unido anunciou um esforço transversal ao Governo para usar IA de fronteira na procura de vulnerabilidades em sistemas governamentais e no desenvolvimento de respostas a incidentes graves com agentes de IA. Está a ponderar medidas adicionais de notificação e proteção no âmbito do Cyber Security and Resilience Bill.
  • Porque importa:Os serviços públicos podem enfrentar tanto ataques assistidos por IA como ações involuntárias de agentes. O Governo afirma que dois pilotos detetaram e trataram mais de 1 000 vulnerabilidades, mas os materiais de 12 de outubro não publicam os métodos dos pilotos nem uma avaliação independente.
  • O que acompanhar:O âmbito do programa cibernético alargado, um processo prático de resposta a incidentes com agentes e eventuais alterações ao projeto de lei. O Governo ainda não apresentou as medidas legais finais.

O que o Governo diz ter feito

Narayan afirmou que dois pilotos governamentais com IA de fronteira ajudaram a identificar e resolver mais de 1 000 vulnerabilidades e outras ameaças aos serviços públicos. Segundo ele, um serviço central de monitorização reduziu de 50 para oito dias o tempo de correção das fragilidades identificadas. O comunicado complementar do Governo também descreve os pilotos como tendo identificado e corrigido vulnerabilidades potenciais.

Estes são números comunicados pelo Governo. O discurso e o comunicado não dão uma lista dos sistemas afetados, período de teste, definição de vulnerabilidade corrigida nem avaliação independente da redução do tempo de reparação. Estabelecem o que os responsáveis dizem que os pilotos alcançaram, mas não como mediram os resultados nem se ganhos semelhantes se repetiriam em todo o Governo. Narayan afirmou que os ministros passariam a liderar uma utilização mais ampla da tecnologia para encontrar fragilidades antes de serem exploradas e proteger sistemas essenciais.

A avaliação do National Cyber Security Centre sobre IA e ameaças cibernéticas até 2027 afirma que é quase certo que a IA torne alguns elementos das intrusões cibernéticas mais eficazes e eficientes. No discurso, Narayan disse que uma violação das defesas cibernéticas britânicas parecia provável, possivelmente inevitável. Foi a sua avaliação de risco, não um anúncio de que um sistema específico foi violado.

A resposta a incidentes com agentes ainda está a ser concebida

Segundo o comunicado, o Reino Unido trabalhará com o National Cyber Security Centre e o AI Security Institute para conter incidentes com agentes e apoiar os afetados. Narayan disse que os investigadores teriam de apurar a tarefa atribuída ao agente, os materiais a que acedeu, as ações tomadas e se a falha poderia repetir-se noutro local. O Governo anunciou trabalho para desenvolver essa capacidade; os documentos de 12 de outubro não descrevem uma norma de resposta concluída nem uma implantação operacional.

O trabalho legislativo proposto também está numa fase inicial. Os responsáveis ponderarão se o Cyber Security and Resilience Bill e o regime mais amplo devem abordar riscos de IA para serviços essenciais, incidentes graves e quase-incidentes. O comunicado diz que os detalhes serão desenvolvidos com parlamentares, especialistas técnicos e operadores encarregues da execução. O discurso não aprovou qualquer nova obrigação específica de notificação.

Narayan disse ainda que o AI Security Institute está a avaliar modelos avançados recentes após conversas com o Governo dos EUA e criadores de IA destinadas a preservar o acesso antes do lançamento. O discurso não revela as condições desse acesso nem demonstra uma inversão de uma decisão governamental anterior.

O caso do portal australiano de estatísticas do Medicare continua sob investigação. Demonstra por que razão o Reino Unido quer um registo da tarefa e do percurso de acesso do agente. O novo trabalho britânico será avaliado pelos procedimentos e provas de resposta que produzir, bem como pela capacidade do Governo de documentar os resultados dos pilotos cibernéticos alargados.

Fontes e leitura adicional