Il Regno Unito si prepara nei prossimi mesi a un aumento senza precedenti degli incidenti informatici, perché l'IA rende più facile individuare e sfruttare debolezze di vecchia data. Il 3 novembre il capo esecutivo del NCSC, Richard Horne, dovrebbe pronunciare un discorso. Come riporta The Record, la sua relazione annuale metterà al centro del rischio per organizzazioni e servizi essenziali le correzioni di sicurezza ritardate e i sistemi obsoleti.
Nel comunicato ufficiale del National Cyber Security Centre si chiedono investimenti urgenti in resilienza, con l'avvertimento che anni di «tecnologia a basso costo» hanno lasciato esposte le organizzazioni britanniche. Per gli operatori delle infrastrutture critiche c'è una previsione precisa: secondo l'agenzia è «molto probabile» che entro il 2028 un malware basato sull'IA compaia in un attacco ransomware contro le infrastrutture critiche britanniche.
Si tratta quindi di una previsione sull'uso di software malevolo potenziato dall'IA, non della segnalazione di un attacco già avvenuto. Secondo quanto riporta The Record, l'NCSC prevede anche che entro quella data Cina e Russia useranno l'IA in modo sistematico nelle proprie operazioni informatiche.
Vulnerabilità vecchie, scoperta più rapida
L'argomento centrale di Horne è che l'IA sta accelerando la scoperta e lo sfruttamento di falle di sicurezza già esistenti. La relazione annuale attribuisce queste debolezze al debito tecnico accumulato, cioè al peso di sicurezza lasciato dalla manutenzione rinviata, e alla mancata adozione di protezioni di base.
I funzionari indicano come prova che il fenomeno è in corso il numero crescente di vulnerabilità individuate dai fornitori di tecnologia, anche se gli esperti non hanno ancora osservato un aumento corrispondente dello sfruttamento. Horne dovrebbe affermare che i principali fornitori correggono ormai centinaia di vulnerabilità con i singoli aggiornamenti e che il progetto del kernel Linux ne ha corrette più di 1.000 il mese scorso.
L'avvertimento arriva dopo un'allerta di giugno dell'alleanza di intelligence Five Eyes, secondo cui l'IA avrebbe trasformato in pochi mesi in modo radicale le capacità informatiche offensive e difensive.
Per le organizzazioni l'esposizione è un problema noto. La relazione afferma che anche gli attacchi riconducibili ad attori sostenuti da Stati spesso passano attraverso applicazioni esposte a internet, cioè software raggiungibili dall'esterno di un'organizzazione, e sfruttano falle per le quali esistono già correzioni che però non sono state installate tempestivamente.
Horne dovrebbe criticare il continuo impiego di sistemi giunti a fine vita e gli aggiornamenti rinviati per risparmiare. Avvertirà i dirigenti che le conseguenze possono estendersi oltre le loro reti, fino a interrompere forniture alimentari, energia elettrica e attività commerciali.
Il discorso segue i piani di bilancio del governo, che prevedono una consultazione sull'eventuale responsabilità delle aziende tecnologiche per le violazioni causate da prodotti non sicuri. Si tratta ancora di una consultazione in fase di proposta. L'NCSC aveva chiesto l'anno scorso un'agenda strategica delle politiche; il suo direttore tecnico, Ollie Whitehouse, sosteneva nel 2025 che le organizzazioni sapessero come costruire prodotti e servizi sicuri, ma che gli incentivi commerciali non fossero sufficienti a sostenerne l'adozione.
Il governo amplia i progetti di difesa basati sull'IA
Il governo sta anche verificando se l'IA possa aiutare i difensori a individuare le debolezze più in fretta. Secondo The Record, la relazione annuale descrive sperimentazioni di sistemi di IA di frontiera, cioè modelli all'avanguardia, sulle reti governative.
Il progetto DROMOS è partito come un programma pilota previsto della durata di quattro settimane, per poi estendersi ad ambienti governativi operativi. Secondo la relazione, ha individuato centinaia di potenziali problemi di sicurezza, tra cui vulnerabilità critiche.
Il prossimo ampliamento previsto è il National Exposure and Real-Time Vulnerability Centre, o NERV Centre, finanziato con 70 milioni di sterline (93 milioni di dollari). Dovrebbe usare l'IA per estendere il lavoro già svolto dall'NCSC nell'individuazione di vulnerabilità nelle infrastrutture critiche e nell'economia nel suo complesso.
Altri 60 milioni di sterline (80 milioni di dollari) sono stati assegnati alla prima fase di Cyber Shield, una rete nazionale di agenti di IA presentata in anteprima a luglio. Si tratta di sistemi progettati per svolgere compiti con un certo grado di autonomia. Secondo il piano, l'NCSC fornirà la piattaforma e l'intelligence sulle minacce, mentre aziende di sicurezza e sviluppatori open source creeranno agenti da far operare all'interno delle organizzazioni. La fase iniziale si concentrerà sul rilevamento e sul blocco degli attacchi.
L'NCSC, che fa parte dell'agenzia di intelligence GCHQ, sostiene che i difensori possano mantenere un vantaggio strutturale, perché controllano i propri ambienti, possono monitorarli e modificarli e possono definire i comportamenti accettabili. La relazione afferma che per sfruttare questo vantaggio servono indirizzo, investimenti e un'adozione rigorosa.
Per dirigenti e team di sicurezza, la richiesta immediata dell'agenzia è investire in resilienza, affrontare gli aggiornamenti rinviati e installare tempestivamente le correzioni di sicurezza disponibili. La guida che accompagna la relazione invita inoltre le organizzazioni a prepararsi fin da ora a un'ondata di patch per rimediare a decenni di debito tecnico accumulato.
