Reino Unido se enfrenta en los próximos meses a la posibilidad de un aumento sin precedentes de ciberincidentes, ya que la IA facilita encontrar y explotar debilidades de larga data. Se espera que el director ejecutivo del NCSC, Richard Horne, lo advierta el 3 de noviembre. The Record informa de que su discurso anual de revisión situará en el centro del riesgo para las organizaciones y los servicios esenciales las correcciones de seguridad aplazadas y los sistemas obsoletos.
El comunicado propio del Centro Nacional de Ciberseguridad pide inversiones urgentes en resiliencia y advierte de que años de «tecnología barata» han dejado expuestas a las organizaciones del Reino Unido. Los operadores de infraestructuras críticas afrontan una previsión concreta: la agencia considera «muy probable» que el malware basado en IA aparezca en un ataque de ransomware contra las infraestructuras críticas británicas para 2028.
Se trata de una previsión sobre software malicioso que usa IA, y no del informe de un ataque de ese tipo ya en curso. Según The Record, el NCSC también prevé que China y Rusia utilicen la IA de forma habitual en sus operaciones cibernéticas para esa fecha.
Debilidades antiguas, descubrimiento más rápido
El argumento central de Horne es que la IA acelera el descubrimiento y la explotación de fallos de seguridad ya existentes. La revisión anual atribuye esas debilidades a la deuda técnica acumulada, es decir, la carga de seguridad que deja el mantenimiento aplazado, y al incumplimiento de protecciones básicas.
Los responsables señalan el aumento del número de vulnerabilidades detectadas por los proveedores de tecnología como prueba de que el cambio ya está en marcha, aunque los expertos aún no han observado un incremento correspondiente en la explotación. Se espera que Horne afirme que los grandes proveedores corrigen ya cientos de vulnerabilidades en actualizaciones individuales y que el proyecto del kernel de Linux parcheó más de 1.000 el mes pasado.
La advertencia llega tras una alerta de junio de la alianza de inteligencia Five Eyes, según la cual la IA transformaría de forma fundamental, en cuestión de meses, las capacidades ofensivas y defensivas en el ámbito cibernético.
Para las organizaciones, el riesgo es conocido. La revisión afirma que incluso los ataques vinculados a actores patrocinados por Estados suelen entrar por aplicaciones expuestas a internet, es decir, software accesible desde fuera de una organización, y explotan fallos para los que ya existen parches, pero que no se han instalado con prontitud.
Se espera que Horne critique el uso continuado de sistemas fuera de soporte y las actualizaciones aplazadas para ahorrar dinero. Advertirá a los directivos de que las consecuencias pueden extenderse más allá de sus propias redes, con interrupciones en el suministro de alimentos, la electricidad y las operaciones empresariales.
El discurso llega después de que los planes presupuestarios del Gobierno incluyeran una consulta sobre si las empresas tecnológicas deberían responder por las brechas causadas por productos inseguros. Sigue siendo una consulta propuesta. El NCSC pidió el año pasado una agenda política estratégica. Su director técnico, Ollie Whitehouse, sostuvo en 2025 que las organizaciones sabían cómo construir productos y servicios seguros, pero que los incentivos comerciales no bastaban para mantener su adopción.
El Gobierno amplía los proyectos de defensa con IA
El Gobierno también está probando si la IA puede ayudar a los defensores a encontrar debilidades antes. Según The Record, la revisión anual describe pruebas con sistemas de IA de frontera, es decir, modelos de vanguardia, en redes gubernamentales.
El proyecto DROMOS comenzó como un piloto previsto de cuatro semanas y después se amplió a entornos operativos del Gobierno. La revisión afirma que detectó cientos de posibles problemas de seguridad, entre ellos vulnerabilidades críticas.
La siguiente ampliación prevista es el National Exposure and Real-Time Vulnerability Centre, o NERV Centre, dotado con 70 millones de libras (93 millones de dólares). Su objetivo es usar la IA para ampliar el trabajo que el NCSC ya realiza para identificar vulnerabilidades en las infraestructuras críticas y en el resto de la economía.
Además, se han asignado 60 millones de libras (80 millones de dólares) a la primera fase de Cyber Shield, una red nacional de agentes de IA presentada por primera vez en julio. Se trata de sistemas diseñados para realizar tareas con cierto grado de autonomía. Según el plan, el NCSC proporcionará la plataforma y la inteligencia sobre amenazas, mientras que empresas de seguridad y desarrolladores de código abierto crearán agentes que operarán dentro de las organizaciones. La fase inicial se centrará en detectar y bloquear ataques.
El NCSC, que forma parte de la agencia de inteligencia GCHQ, sostiene que los defensores pueden conservar una ventaja estructural, porque controlan sus entornos, pueden supervisarlos y modificarlos, y pueden definir qué comportamiento es aceptable. Según su revisión, aprovechar esa ventaja exige dirección, inversión y una adopción disciplinada.
Para los directivos y los equipos de seguridad, la llamada inmediata de la agencia es invertir en resiliencia, atender las actualizaciones aplazadas e instalar cuanto antes las correcciones de seguridad disponibles. La guía que acompaña el informe también insta a las organizaciones a prepararse ya para una oleada de parches que aborden décadas de deuda técnica acumulada.
