Britannia julkistaa tekoälyn riskeihin liittyvän toimenpidepaketin ja jatkaa kyberpuolustuksen pilottihankkeita

Yhdistyneen kuningaskunnan hallitus julkisti toimenpidepaketin 12. lokakuuta 2026 suojellakseen Britanniaa yhä tehokkaamman tekoälyn aiheuttamilta riskeiltä. Pakettiin kuuluu myös eturintaman tekoälyyn keskittyvän kyberpuolustusohjelman jatkaminen. Hallituksen mukaan ohjelma on jo auttanut löytämään ja korjaamaan yli 1 000 mahdollista haavoittuvuutta hallinnon järjestelmissä.

Julkistuksen antoivat Cabinet Office, tekoälyn turvallisuusinstituutti (AISI), National Cyber Security Centre (NCSC) ja Department for Digital, Culture, Media and Sport. Tekoälyasioista vastaava ministeri Kanishka Narayan esitteli toimenpiteet Base Onessa, Imperial College Londonin tiede- ja teknologiayrityshautomossa, ja peräänkuulutti koko yhteiskunnan kattavaa lähestymistapaa kriisinkestävyyteen. Hän varoitti, että eturintaman tekoälyjärjestelmien tehon ja autonomisen toimintakyvyn kasvaessa toimintahäiriöiden tai haitallisen käytön mahdolliset seuraukset voivat olla huomattavasti vakavampia.

”Haluan, että Britanniasta tulee yksi maailman vaikeimmin tekoälyn avulla hyökättävistä maista”, Narayan sanoi. Hän lupasi säätää tarvittaessa lakeja sekä hyödyntää brittien tieteellistä asiantuntemusta, teknologista osaamista ja instituutioita yhä tehokkaampien järjestelmien ymmärtämiseksi, uusien uhkien torjumiseksi ja ongelmatilanteisiin vastaamiseksi. Hänen mukaansa maailman tehokkaimpia tekoälyjärjestelmiä kehittävien yritysten tulisi ottaa vakavasti tutkijoidensa varoitukset vakavista vaaroista, selvittää odottamatonta toimintaa ja jättää julkaisematta kaikki järjestelmät, joiden riskejä ei voida hallita riittävästi.

Julkistuksen mukaan toimenpide perustuu kahteen pilottihankkeeseen, jotka ovat auttaneet löytämään ja korjaamaan haavoittuvuuksia sekä havaitsemaan mahdollisia kyberuhkia. Hallituksen mukaan ohjelman jatkaminen auttaa suojelemaan julkisia palveluja, joihin ihmiset luottavat päivittäin, vähentämään riskejä lyhyellä aikavälillä ja tukemaan tekoälyn laajempaa käyttöönottoa julkisella sektorilla pitkällä aikavälillä.

Kyberturvallisuuslakiesityksen muutokset ja valmius tekoälypoikkeamiin

Hallitus kertoi selvittävänsä, miten kyberturvallisuutta ja häiriönsietokykyä koskevan lakiesityksen ja laajemman sääntelykokonaisuuden osia voitaisiin vahvistaa, jotta keskeiset palvelut, kuten sairaalat ja yleishyödylliset palvelut, olisivat paremmin suojassa uusilta tekoälyyn liittyviltä riskeiltä. Näihin kuuluu riski tekoälyn hallinnan menettämisestä, jolloin autonomiset järjestelmät kiertävät ihmisten valvonnan. Hallitus selvittää myös, miten vakavat tekoälypoikkeamat ja läheltä piti -tilanteet tulisi tunnistaa ja ilmoittaa sekä miten niistä saatavat opit voidaan hyödyntää nopeasti tulevien haittojen riskin pienentämiseksi. Mahdollisten toimenpiteiden yksityiskohdat valmistellaan yhdessä parlamentin jäsenten, teknisten asiantuntijoiden ja niiden toimijoiden kanssa, joiden olisi toteutettava ne.

NCSC:n ja AISI:n kanssa tehdään myös työtä sen selvittämiseksi, miten vastata poikkeamiin, joissa on osallisena tekoälyagentteja eli järjestelmiä, jotka kykenevät suorittamaan monimutkaisia tehtäviä vähäisellä ihmisen valvonnalla. Julkistuksen mukaan tällainen poikkeama voisi kehittyä nopeammin ja levitä laajemmalle kuin muut vakavat poikkeamat, joiden varalta hallitukset ovat varautuneet. Tähän haasteeseen vastaaminen edellyttää uutta asiantuntemusta ja uusia valmiuksia.

Paketti kattaa myös tekoälyn varmentamisen. Julkistuksessa se kuvataan kehittyväksi alaksi, jolla tarkistetaan, kestävätkö väitteet tekoälyjärjestelmien kehittämisestä, testaamisesta ja arvioinnista kriittisen tarkastelun. Hallituksen mukaan Yhdistyneellä kuningaskunnalla on hyvät edellytykset ottaa alalla johtava rooli, ja tuesta maan tekoälyn varmentamista koskeville hankkeille kerrotaan lisää tulevina kuukausina.

Kyberturvallisuusministeri Liz Lloyd sanoi, että kyberpoikkeamat häiritsevät edelleen suurten ja pienten organisaatioiden toimintaa yksityisellä ja julkisella sektorilla. Hänen mukaansa tämä tekee kyberturvallisuudessa etulyöntiaseman säilyttämisestä liiketoiminnan kannalta kriittistä. ”Laajentamalla hankkeita, joissa pilotoidaan tekoälyn käyttöä julkisten palvelujen suojaamisessa, ja viemällä eteenpäin puolustustamme vahvistavaa kyberturvallisuuslakiesitystä hallitus nostaa kyberturvallisuuden ja tekoälyyn liittyvän varautumisen Yhdistyneen kuningaskunnan digitaalisen tulevaisuuden ytimeen”, Lloyd sanoi.

Haavoittuvuuslukujen taustalla oleva pilottihanke

Julkistus viittaa lukujensa tueksi 12. kesäkuuta 2026 julkaistuun tapaustutkimukseen, jonka tekivät Department for Science, Innovation and Technology (DSIT) ja NCSC. Siinä kuvataan pilottihanketta, jossa NCSC:n ja DSIT:n yhteishanke Government Cyber Coordination Centre (GC3) järjesti viikoittaisia lähitapahtumina toteutettuja hakkerointitapahtumia. Niissä hyödynnettiin eturintaman tekoälyä julkisten koodivarastojen tarkistamiseen eri puolilla hallintoa. Tiimit pyrkivät AISI:n ja NCSC:n asiantuntijoiden kanssa löytämään aiemmin tunnistamattomia haavoittuvuuksia ja pienentämään niiden aiheuttamaa riskiä ennen kuin niitä ehdittäisiin hyödyntää. GC3 ei määrännyt yhtä tiettyä toimintatapaa, vaan tiimit saivat käyttöönsä malleja ja kehittivät omat työkalunsa.

Tapaustutkimuksessa kuvataan useita työnkulkuja. Yksi tiimi käsitteli jokaisen julkisen koodivaraston kuusivaiheisessa tekoälyagenttiketjussa (alkukartoitus, varmentaja, auditoija, jäljittäjä, arvioija ja yhteenveto). Ketjun jokainen vaihe tarkasteli edellisen vaiheen tuloksia ja kyseenalaisti ne. Lisäksi prosessiin kuului manuaalinen eskalointi: tiimin jäsen tarkisti jokaisen rivin, varmisti altistumisen uudelleen ja käsitteli väärät positiiviset tulokset. Toinen tiimi käytti ensin tavanomaisia tarkistustyökaluja, kuten Gitleaksia, Trivyä, Semgrepiä ja Hadolintia, ja lisäsi niiden jälkeen kolme mallivaihetta, jotka keskittyivät löydösten tekemiseen, hyökkäysketjujen tutkimiseen ja alkukartoitukseen. Kolmas osasto tiivisti koko organisaation kattavan, satoja palveluja koskevan auditoinnin viideksi toimialakohtaiseksi Claude Skills -kokonaisuudeksi.

Tapaustutkimuksen mukaan osallistujat tunnistivat kaikkiaan 407 havaintoa, joihin sisältyi vakavia heikkouksia, jotka altistivat palvelut todennuksen ohittamiselle, tietojen paljastumiselle ja etäkoodin suorittamiselle. Kaikki vakavat heikkoudet korjattiin, eikä minkään havainnon kohdalla löytynyt merkkejä hyväksikäytöstä. Tokeneihin kului kuukauden aikana yhdeksässä valtion organisaatiossa 13 000 puntaa. Kirjoittajien mukaan mallit jäljittivät haavoittuvuuksia palvelurajojen yli, mihin perinteiset skannerit eivät pysty, ja yhdistivät liiketoimintalogiikan teknisiin yksityiskohtiin.

Yksi vakava havainto koski vanhoja GitHub Actions -määrityksiä tietovarastossa, joka tukee valtion keskeistä digitaalista palvelua. Erityisesti muotoiltu kommentti avoimessa pull requestissa olisi voinut antaa ulkopuoliselle käyttäjälle mahdollisuuden käynnistää työnkulkujen ketjun, joka olisi johtanut mielivaltaisen etäkoodin suorittamiseen GitHub Actions -suoritusympäristössä ja voinut avata tien työnkulun käytettävissä olevien salaisuuksien ja tunnisteiden poimimiseen. GC3 aloittaa pilotin toisen vaiheen, johon osallistuu lisää ministeriöitä, jossa käytetään uusia malleja ja jonka soveltamisalaa laajennetaan julkisesta koodista suljetun lähdekoodin järjestelmäkokonaisuuksiin.

Mallien arviointi ja hallinnon laajempi ohjelma

Narayan vahvisti, että AISI:n tutkijat arvioivat tiukoin menetelmin uusimman sukupolven kehittyneitä tekoälymalleja jatkona johtavien tekoälykehittäjien ja Yhdysvaltain hallituksen kanssa tehdylle työlle.

Ilmoituksessa viitataan myös 15. huhtikuuta 2026 julkaistuun yritysjohtajille suunnattuun avoimeen kirjeeseen, jossa DSIT-ministeri Liz Kendall ja turvallisuusministeri Dan Jarvis kehottivat yrityksiä ottamaan kyberturvallisuuden vakavasti organisaatioidensa ylimmässä johdossa, huolehtimaan perusasioista hallituksen Cyber Essentials -ohjelman avulla ja noudattamaan NCSC:n ohjeita. Näihin kuuluu liittyminen sen maksuttomaan Early Warning -palveluun, joka varoittaa organisaatioita mahdollisista kyberhyökkäyksistä, jotta ne voivat toimia ennen tilanteen kärjistymistä.

Ilmoituksen mukaan toimet ovat vasta ensimmäisiä askelia pitkällä matkalla, ja laajempaa työtä johtaa pääministerin tekoälytyöryhmä. Ilmoituksessa mainittiin pääministerin syyskuussa YK:n yleiskokouksessa antama sitoumus tehdä kaikki tarvittava brittien suojelemiseksi tekoälyn riskeiltä niiden ilmaantuessa. Siinä todettiin myös, että tekoäly on keskeisessä asemassa Yhdistyneen kuningaskunnan G20-puheenjohtajuuskaudella. Tulevina kuukausina työryhmä keskittyy alueisiin, joihin tekoäly vaikuttaa eniten: kansalliseen turvallisuuteen, talouskasvuun sekä julkisten palvelujen ja työelämän tulevaisuuteen.