El Reino Unido anuncia un paquete de medidas sobre los riesgos de la IA y amplía los programas piloto de ciberdefensa

El Gobierno del Reino Unido anunció un paquete de medidas el 12 de octubre de 2026 para proteger a Gran Bretaña de los riesgos que plantea una IA cada vez más potente. Entre ellas, se amplía un programa de ciberdefensa centrado en la IA de vanguardia que, según afirmó el Gobierno, ya ha contribuido a detectar y corregir más de 1.000 posibles vulnerabilidades en los sistemas gubernamentales.

El anuncio fue emitido por la Cabinet Office, el AI Security Institute (AISI), el National Cyber Security Centre (NCSC) y el Department for Digital, Culture, Media and Sport. El ministro de IA, Kanishka Narayan, presentó las medidas en Base One, la incubadora de ciencia y tecnología del Imperial College London, y defendió un enfoque de resiliencia que involucre a toda la sociedad. Advirtió que, a medida que los sistemas de IA de vanguardia se vuelven más potentes y capaces de actuar de forma autónoma, las posibles consecuencias de los fallos o del uso malintencionado podrían ser mucho más graves.

«Quiero que Gran Bretaña se convierta en uno de los países más difíciles del mundo de atacar mediante inteligencia artificial», afirmó Narayan. Se comprometió a legislar cuando fuera necesario y a recurrir a la experiencia científica, la capacidad tecnológica y las instituciones británicas para comprender sistemas cada vez más potentes, contrarrestar las amenazas emergentes y responder cuando algo salga mal. Dijo que las empresas que desarrollan los sistemas de IA más potentes del mundo deberían prestar atención a las advertencias de sus científicos sobre los graves peligros, investigar los comportamientos inesperados y abstenerse de poner en circulación cualquier sistema cuyos riesgos no puedan controlarse adecuadamente.

Según el anuncio, esta iniciativa se basa en dos programas piloto que han contribuido a detectar y corregir las vulnerabilidades y a identificar posibles ciberamenazas. El Gobierno afirmó que ampliar el programa ayudará a proteger los servicios públicos de los que la gente depende a diario, reducirá los riesgos a corto plazo y respaldará una adopción más amplia a largo plazo en todo el sector público.

Cambios en el proyecto de ley de ciberseguridad y preparación ante incidentes de IA

El Gobierno afirmó que estudiará cómo reforzar algunos aspectos del proyecto de ley sobre ciberseguridad y resiliencia y del marco normativo general, para proteger mejor de los nuevos riesgos relacionados con la IA a servicios esenciales como los hospitales y los suministros públicos. Entre ellos se incluye el riesgo de pérdida de control de la IA, cuando los sistemas autónomos eluden la supervisión humana. También examinará cómo identificar y notificar los incidentes graves relacionados con la IA y los cuasi accidentes, así como la manera de extraer enseñanzas con rapidez para reducir el riesgo de daños futuros. Los detalles de las posibles medidas se definirán junto con parlamentarios, expertos técnicos y los operadores que tendrían que aplicarlas.

También se está trabajando con el NCSC y el AISI para determinar cómo responder a incidentes relacionados con agentes de IA, sistemas capaces de realizar tareas complejas con poca supervisión humana. Según el anuncio, un incidente de este tipo podría desarrollarse más rápido y propagarse más ampliamente que otros incidentes graves para los que los gobiernos están preparados; hacer frente a ese desafío exigirá nuevos conocimientos especializados y capacidades.

El paquete también abarca la verificación de la IA, que el anuncio describe como un campo emergente que comprueba si resisten un examen riguroso las afirmaciones sobre cómo se han desarrollado, probado y evaluado los sistemas de IA. El Gobierno afirmó que el Reino Unido está bien posicionado para asumir un papel de liderazgo en este ámbito y que en los próximos meses dará a conocer más detalles sobre el apoyo a las iniciativas británicas de verificación de la IA.

La ministra de Ciberseguridad, Liz Lloyd, afirmó que los incidentes cibernéticos siguen perturbando a organizaciones grandes y pequeñas de los sectores público y privado, lo que, según describió, hace imprescindible anticiparse en materia de ciberseguridad. «Al ampliar los proyectos piloto que prueban la IA para proteger los servicios públicos y avanzar con un proyecto de ley de ciberseguridad que refuerce nuestras defensas, el Gobierno está situando la ciberseguridad y la preparación en materia de IA en el centro del futuro digital del Reino Unido», afirmó Lloyd.

El programa piloto detrás de las cifras de vulnerabilidades

El anuncio cita un estudio de caso publicado el 12 de junio de 2026 por el Department for Science, Innovation and Technology (DSIT) y el NCSC para respaldar sus cifras. El documento describe un programa piloto en el que el Government Cyber Coordination Centre (GC3), una iniciativa conjunta del NCSC y el DSIT, organizó hackatones presenciales semanales que utilizaron IA de vanguardia para analizar repositorios públicos de código de todo el Gobierno. En colaboración con especialistas del AISI y del NCSC, los equipos trataron de detectar y mitigar vulnerabilidades que no se habían identificado previamente, antes de que pudieran explotarse. El GC3 no impuso un método único: los equipos obtuvieron acceso a modelos y desarrollaron sus propias herramientas.

El estudio de caso describe varias secuencias de trabajo. Un equipo procesó cada repositorio público mediante una cadena de agentes de IA de seis etapas (clasificación inicial, validación, auditoría, rastreo, evaluación y resumen), en la que cada etapa lee y cuestiona el trabajo de la anterior, con derivación manual: un miembro del equipo revisó cada línea, volvió a verificar la exposición y se ocupó de los falsos positivos. Otro equipo primero utilizó herramientas convencionales de análisis, entre ellas Gitleaks, Trivy, Semgrep y Hadolint, y luego añadió tres etapas basadas en modelos, dedicadas a la detección, la investigación de cadenas de ataque y la clasificación inicial. Un tercer departamento condensó una auditoría de toda una organización, que abarcó cientos de servicios, en cinco Claude Skills especializadas por ámbito.

Según el estudio de caso, los participantes identificaron un total de 407 hallazgos, incluidas vulnerabilidades críticas que exponían servicios a la elusión de la autenticación, la exposición de datos y la ejecución remota de código. Se corrigieron todas las vulnerabilidades críticas y no se encontraron indicios de explotación en ninguno de los hallazgos, con un coste de 13.000 £ en tokens durante el mes en nueve organizaciones gubernamentales. Los autores afirmaron que los modelos rastrearon vulnerabilidades entre los límites de los servicios, algo que los escáneres tradicionales no pueden hacer, y vincularon la lógica empresarial con los detalles técnicos.

Uno de los hallazgos críticos afectaba a flujos de trabajo heredados de GitHub Actions en un repositorio que daba soporte a un servicio digital gubernamental clave. Un comentario especialmente diseñado en una solicitud de incorporación de cambios abierta podía permitir que un usuario externo desencadenara una cadena de flujos de trabajo, lo que produciría la ejecución remota de código arbitrario en el ejecutor de GitHub Actions y abriría una posible vía para extraer los secretos y tokens disponibles para ese flujo de trabajo. GC3 iniciará una segunda fase del programa piloto con más departamentos, modelos adicionales y una ampliación del código público a entornos de código cerrado.

Evaluaciones de modelos y programa gubernamental más amplio

Narayan confirmó que científicos de AISI están llevando a cabo evaluaciones rigurosas de la última generación de modelos avanzados de IA, tras colaborar con destacados desarrolladores de IA y con el Gobierno de Estados Unidos.

El anuncio también hace referencia a una carta abierta a los líderes empresariales publicada el 15 de abril de 2026, en la que la secretaria de Estado del DSIT, Liz Kendall, y el ministro de Seguridad, Dan Jarvis, instaron a las empresas a tomarse en serio la ciberseguridad desde los niveles más altos de sus organizaciones, a aplicar correctamente los aspectos básicos mediante el programa Cyber Essentials del Gobierno y a seguir las recomendaciones del NCSC, incluida la inscripción en su servicio gratuito Early Warning, que alerta a las organizaciones de posibles ciberataques para que puedan actuar antes de que un incidente se agrave.

Según el anuncio, estas medidas son los primeros pasos de un camino más largo, y el trabajo más amplio está siendo liderado por el grupo de trabajo sobre IA del primer ministro. El anuncio señaló el compromiso del primer ministro, expresado en septiembre ante la Asamblea General de la ONU, de hacer todo lo necesario para proteger a la población británica de los riesgos de la IA a medida que surjan, y afirmó que la IA ocupará un lugar central en la presidencia del G20 del Reino Unido. En los próximos meses, el grupo de trabajo se centrará en las áreas más afectadas por la IA, que abarcan la seguridad nacional, el crecimiento económico y el futuro de los servicios públicos y la fuerza laboral.