Storbritannien annoncerer en pakke om AI-risici og forlænger forsøg med cyberforsvar

Den britiske regering offentliggjorde en pakke af tiltag den 12. oktober 2026 for at beskytte Storbritannien mod de risici, som stadig mere avanceret AI medfører. Pakken omfatter også en forlængelse af et cyberforsvarsprogram rettet mod avanceret AI, som ifølge regeringen allerede har hjulpet med at finde og afhjælpe mere end 1.000 potentielle sårbarheder i offentlige systemer.

Meddelelsen blev udsendt af Cabinet Office, AI Security Institute (AISI), National Cyber Security Centre (NCSC) og Department for Digital, Culture, Media and Sport. AI-minister Kanishka Narayan fremlagde tiltagene på Base One, Imperial College Londons inkubator for videnskab og teknologi, og argumenterede for en tilgang til robusthed, der omfatter hele samfundet. Han advarede om, at de potentielle konsekvenser af fejl eller ondsindet brug kunne blive langt mere alvorlige, efterhånden som de mest avancerede AI-systemer bliver mere kraftfulde og i stand til at handle selvstændigt.

“Jeg ønsker, at Storbritannien bliver et af de lande i verden, der er sværest at angribe ved hjælp af kunstig intelligens,” sagde Narayan. Han lovede at lovgive, hvor det er nødvendigt, og at trække på britisk videnskabelig ekspertise, teknologiske kapacitet og institutioner for at forstå stadig mere kraftfulde systemer, imødegå nye trusler og reagere, når noget går galt. Han sagde, at virksomheder, der udvikler verdens mest kraftfulde AI-systemer, bør lytte til deres forskeres advarsler om alvorlige farer, undersøge uventet adfærd og undlade at udrulle systemer, hvis risici ikke kan kontrolleres tilstrækkeligt.

Ifølge meldingen bygger tiltaget videre på to forsøg, der har hjulpet med at finde og afhjælpe sårbarhederne samt opdage potentielle cybertrusler. En forlængelse af programmet vil ifølge regeringen bidrage til at beskytte de offentlige tjenester, som folk er afhængige af hver dag, mindske risikoen på kort sigt og understøtte en bredere udbredelse i den offentlige sektor på længere sigt.

Ændringer af cyberlovgivningen og beredskab ved AI-hændelser

Regeringen sagde, at den vil undersøge muligheden for at styrke dele af lovforslaget Cyber Security and Resilience Bill og de bredere regler, så vigtige tjenester som hospitaler og forsyningsselskaber beskyttes bedre mod nye AI-relaterede risici, herunder risikoen for tab af kontrol over AI, hvor autonome systemer unddrager sig menneskeligt tilsyn. Regeringen vil også undersøge, hvordan alvorlige AI-hændelser og nærved-hændelser bør identificeres og indberettes, og hvordan man hurtigt kan drage lære af dem for at mindske risikoen for fremtidige skader. De konkrete tiltag skal udformes i samarbejde med parlamentsmedlemmer, tekniske eksperter og de operatører, der skal føre dem ud i livet.

Der arbejdes også sammen med NCSC og AISI om, hvordan man skal reagere på hændelser, der involverer AI-agenter – systemer, der kan udføre komplekse opgaver med begrænset menneskeligt tilsyn. Ifølge meldingen kan en sådan hændelse udvikle sig hurtigere og sprede sig mere vidtgående end andre større hændelser, som myndighederne er indrettet til at håndtere. Det vil kræve ny ekspertise og nye kapaciteter at imødegå denne udfordring.

Pakken omfatter også AI-verifikation, som meldingen beskriver som et fremvoksende fagområde, hvor man undersøger, om påstande om udvikling, afprøvning og vurdering af AI-systemer kan holde til nærmere granskning. Regeringen sagde, at Storbritannien har gode forudsætninger for at indtage en førende rolle på området, og at der i de kommende måneder vil blive fremlagt flere oplysninger om støtte til britiske AI-verifikationsinitiativer.

Cyberminister Liz Lloyd sagde, at cyberhændelser fortsat forstyrrer organisationer af både stor og lille størrelse i den private og offentlige sektor. Det skaber, som hun udtrykte det, et forretningskritisk behov for at være på forkant med cybersikkerheden. “Ved at udvide projekter, der afprøver AI til beskyttelse af offentlige tjenester, og arbejde videre med et lovforslag om cybersikkerhed for at styrke vores forsvar sætter regeringen cybersikkerhed og AI-beredskab i centrum for Storbritanniens digitale fremtid,” sagde Lloyd.

Forsøget bag tallene for sårbarheder

Meldingen henviser til et casestudie offentliggjort den 12. juni 2026 af Department for Science, Innovation and Technology (DSIT) og NCSC til støtte for de fremlagte tal. Det beskriver et forsøg, hvor Government Cyber Coordination Centre (GC3), et samarbejde mellem NCSC og DSIT, afholdt ugentlige fysiske hackathons, hvor avanceret AI blev brugt til at scanne offentlige kodelagre på tværs af myndighederne. Holdene arbejdede sammen med specialister fra AISI og NCSC for at finde og afhjælpe hidtil uidentificerede sårbarheder, før de kunne udnyttes. GC3 krævede ikke én bestemt tilgang; holdene fik adgang til modeller og udviklede deres egne værktøjer.

Casestudiet beskriver flere arbejdsgange. Ét hold lod hvert offentligt kodelager gennemgå en AI-agentkæde med seks trin (triagering, validering, audit, sporing, bedømmelse og opsummering), hvor hvert trin læser det foregående og udfordrer dets resultater, med manuel eskalering: Et holdmedlem kontrollerede hver linje, efterprøvede eksponeringen og håndterede falske positiver. Et andet hold brugte først traditionelle scanningsværktøjer, herunder Gitleaks, Trivy, Semgrep og Hadolint, og tilføjede derefter tre modeltrin til henholdsvis opdagelse, undersøgelse af angrebskæder og triagering. En tredje afdeling kondenserede en organisationsdækkende audit på tværs af hundredvis af tjenester til fem domænespecifikke Claude Skills.

Deltagerne identificerede i alt 407 fund, herunder kritiske svagheder, der kunne udsætte tjenester for omgåelse af autentificering, dataeksponering og fjernudførelse af kode, fremgår det af casestudiet. Alle kritiske svagheder blev afhjulpet, og der blev ikke fundet tegn på udnyttelse af nogen af fundene. Det kostede 13.000 pund i tokens på tværs af ni offentlige organisationer i løbet af måneden. Forfatterne sagde, at modellerne sporede sårbarheder på tværs af servicegrænser, hvilket traditionelle scannere ikke kan, og forbandt forretningslogik med tekniske detaljer.

Et kritisk fund vedrørte ældre GitHub Actions i et repository, der understøtter en vigtig digital offentlig tjeneste. En specialudformet kommentar til en åben pull request kunne gøre det muligt for en ekstern bruger at udløse en kæde af workflows, der førte til vilkårlig fjernudførelse af kode på GitHub Actions-runneren og dermed muligvis gjorde det muligt at hente de hemmeligheder og tokens, som det pågældende workflow havde adgang til. GC3 vil indlede en anden fase af pilotprojektet med flere departementer, flere modeller og en udvidelse fra offentlig kode til lukkede kodebaser.

Modelevalueringer og et bredere regeringsprogram

Narayan bekræftede, at forskere fra AISI gennemfører grundige evalueringer af den nyeste generation af avancerede AI-modeller efter et samarbejde med førende AI-udviklere og den amerikanske regering.

Meddelelsen henviser også til et åbent brev til erhvervsledere, der blev offentliggjort den 15. april 2026, og hvori DSIT’s minister Liz Kendall og sikkerhedsminister Dan Jarvis opfordrede virksomheder til at prioritere cybersikkerhed på øverste ledelsesniveau, sørge for at have styr på de grundlæggende forhold med regeringens Cyber Essentials-ordning og følge NCSC’s råd. Det omfatter blandt andet at tilmelde sig den gratis tjeneste Early Warning, som advarer organisationer om potentielle cyberangreb, så de kan handle, før en hændelse eskalerer.

Ifølge meddelelsen er tiltagene de første skridt på en længere rejse, og det bredere arbejde ledes af premierministerens AI-taskforce. Meddelelsen fremhævede premierministerens tilsagn på FN’s Generalforsamling i september om at gøre alt, hvad der er nødvendigt for at beskytte briterne mod AI-risici, efterhånden som de opstår, og sagde, at AI vil stå centralt under Storbritanniens G20-formandskab. I de kommende måneder vil taskforcen fokusere på de områder, der påvirkes mest af AI, herunder national sikkerhed, økonomisk vækst samt fremtiden for offentlige tjenester og arbejdsstyrken.