Verenigd Koninkrijk kondigt pakket maatregelen tegen AI-risico’s aan en verlengt pilots voor cyberverdediging

De Britse regering kondigde op 12 oktober 2026 een pakket maatregelen aan om het Verenigd Koninkrijk te beschermen tegen de risico’s van steeds krachtigere AI. Het pakket omvat onder meer de verlenging van een programma voor cyberverdediging tegen geavanceerde AI, dat volgens de regering al heeft geholpen meer dan 1.000 potentiële kwetsbaarheden in overheidssystemen op te sporen en te verhelpen.

De aankondiging werd gedaan door het Cabinet Office, het AI Security Institute (AISI), het National Cyber Security Centre (NCSC) en het Department for Digital, Culture, Media and Sport. AI-minister Kanishka Narayan lichtte de maatregelen toe bij Base One, de incubator voor wetenschap en technologie van Imperial College London, en pleitte voor een brede maatschappelijke aanpak van weerbaarheid. Hij waarschuwde dat de mogelijke gevolgen van storingen of kwaadwillig gebruik veel ernstiger kunnen worden naarmate geavanceerde AI-systemen krachtiger worden en zelfstandig kunnen handelen.

‘Ik wil dat het Verenigd Koninkrijk een van de moeilijkst aan te vallen landen ter wereld wordt met behulp van kunstmatige intelligentie’, zei Narayan. Hij beloofde waar nodig wetgeving in te voeren en te vertrouwen op de Britse wetenschappelijke expertise, technologische capaciteiten en instellingen om steeds krachtigere systemen te begrijpen, opkomende dreigingen tegen te gaan en te reageren wanneer het misgaat. Volgens hem moeten bedrijven die ’s werelds krachtigste AI-systemen ontwikkelen de waarschuwingen van hun wetenschappers over ernstige gevaren ter harte nemen, onverwacht gedrag onderzoeken en systemen buiten gebruik houden als de risico’s ervan niet voldoende beheerst kunnen worden.

Volgens de aankondiging bouwt deze stap voort op twee pilots die hebben geholpen kwetsbaarheden op te sporen en te verhelpen en potentiële cyberdreigingen te detecteren. De verlenging van het programma zal, aldus de regering, helpen de openbare diensten te beschermen waarop mensen dagelijks vertrouwen, het risico op korte termijn te verkleinen en de toepassing ervan op langere termijn in de publieke sector te ondersteunen.

Aanpassingen aan de cyberwet en voorbereiding op AI-incidenten

De regering zei te zullen onderzoeken hoe onderdelen van de Cyber Security and Resilience Bill en het bredere stelsel kunnen worden aangescherpt, zodat essentiële diensten zoals ziekenhuizen en nutsbedrijven beter beschermd zijn tegen opkomende AI-gerelateerde risico’s. Daaronder valt het risico dat AI-systemen de menselijke controle ontglippen, waarbij autonome systemen zich aan menselijk toezicht onttrekken. Ook wordt onderzocht hoe ernstige AI-incidenten en bijna-incidenten moeten worden herkend en gemeld, en hoe lessen snel kunnen worden geleerd om het risico op toekomstige schade te verkleinen. De precieze maatregelen worden uitgewerkt met parlementariërs, technische experts en de partijen die ze moeten uitvoeren.

Ook wordt samen met het NCSC en AISI gewerkt aan de aanpak van incidenten met AI-agenten: systemen die complexe taken met weinig menselijk toezicht kunnen uitvoeren. Zo’n incident kan zich volgens de aankondiging sneller voltrekken en verder verspreiden dan andere grote incidenten waarop overheden zijn voorbereid. Om die uitdaging aan te gaan, zijn nieuwe expertise en capaciteiten nodig.

Het pakket omvat ook AI-verificatie. De aankondiging beschrijft dit als een opkomend vakgebied dat nagaat of beweringen over de ontwikkeling, tests en beoordeling van AI-systemen standhouden bij kritisch onderzoek. Volgens de regering is het Verenigd Koninkrijk goed gepositioneerd om hierin een leidende rol te spelen. Meer informatie over steun voor Britse initiatieven op het gebied van AI-verificatie volgt de komende maanden.

Cyberminister Liz Lloyd zei dat cyberincidenten organisaties van elke omvang in zowel de private als de publieke sector blijven ontregelen. Dat maakt het volgens haar van cruciaal belang voor bedrijven om cyberbeveiliging voor te blijven. ‘Door projecten op te schalen waarin AI wordt getest om openbare diensten te beschermen, en door de Cyber Security and Resilience Bill verder uit te werken om onze verdediging te versterken, plaatst de regering cyberbeveiliging en de voorbereiding op AI in het hart van de digitale toekomst van het Verenigd Koninkrijk’, zei Lloyd.

De pilot achter de cijfers over kwetsbaarheden

Ter onderbouwing van de cijfers verwijst de aankondiging naar een casestudy die op 12 juni 2026 is gepubliceerd door het Department for Science, Innovation and Technology (DSIT) en het NCSC. De casestudy beschrijft een pilot waarin het Government Cyber Coordination Centre (GC3), een samenwerkingsverband van het NCSC en DSIT, wekelijks fysieke hackathons organiseerde. Daarbij werd geavanceerde AI ingezet om openbare codeopslagplaatsen van overheidsdiensten te scannen. Teams werkten samen met specialisten van AISI en het NCSC en probeerden niet eerder ontdekte kwetsbaarheden op te sporen en te verhelpen voordat die konden worden misbruikt. GC3 schreef geen vaste aanpak voor: teams kregen toegang tot modellen en ontwikkelden hun eigen hulpmiddelen.

De casestudy beschrijft verschillende pijplijnen. Eén team haalde elke openbare opslagplaats door een AI-keten van zes stappen (triage, validatie, audit, tracering, beoordeling en samenvatting), waarbij elke stap het werk van de vorige las en kritisch beoordeelde. Er was ook handmatige opschaling: een teamlid controleerde elke regel, verifieerde opnieuw of de code kwetsbaar was en beoordeelde fout-positieve meldingen. Een ander team gebruikte eerst traditionele scantools, waaronder Gitleaks, Trivy, Semgrep en Hadolint, en voegde daar vervolgens drie modelstappen aan toe voor detectie, onderzoek naar aanvalsketens en triage. Een derde afdeling vatte een organisatiebrede audit van honderden diensten samen in vijf domeinspecifieke Claude Skills.

Deelnemers identificeerden in totaal 407 bevindingen, waaronder kritieke kwetsbaarheden waardoor diensten konden worden blootgesteld aan omzeiling van authenticatie, datalekken en uitvoering van code op afstand, aldus de casestudy. Alle kritieke kwetsbaarheden werden verholpen en er werd bij geen enkele bevinding bewijs van misbruik vastgesteld. De kosten bedroegen £13.000 aan tokens voor negen overheidsorganisaties gedurende de maand. De auteurs schreven dat de modellen kwetsbaarheden over servicegrenzen heen opspoorden, iets wat traditionele scanners niet kunnen, en bedrijfslogica in verband brachten met technische details.

Een kritieke bevinding betrof verouderde GitHub Actions in een repository ter ondersteuning van een belangrijke digitale overheidsdienst. Een speciaal samengestelde opmerking bij een open pull request kon een externe gebruiker in staat stellen een reeks workflows te starten, waardoor willekeurige code op afstand kon worden uitgevoerd op de GitHub Actions-runner en mogelijk een route ontstond om de geheimen en tokens die voor die workflow beschikbaar waren, buit te maken. GC3 start een tweede fase van de pilot, met meer departementen, aanvullende modellen en een uitbreiding van openbare code naar omgevingen met gesloten broncode.

Modelbeoordelingen en een breder overheidsprogramma

Narayan bevestigde dat wetenschappers van AISI grondige beoordelingen uitvoeren van de nieuwste generatie geavanceerde AI-modellen, voortbouwend op eerder werk met vooraanstaande AI-ontwikkelaars en de Amerikaanse overheid.

De aankondiging verwijst ook naar een open brief aan bedrijfsleiders, gepubliceerd op 15 april 2026. Daarin drongen DSIT-minister Liz Kendall en minister van Veiligheid Dan Jarvis er bij bedrijven op aan cyberbeveiliging op het hoogste niveau van hun organisaties serieus te nemen, de basis op orde te brengen met de Cyber Essentials-regeling van de overheid en het advies van NCSC op te volgen. Dat omvat ook aanmelding voor de gratis dienst Early Warning, die organisaties waarschuwt voor mogelijke cyberaanvallen, zodat ze kunnen ingrijpen voordat een incident escaleert.

Volgens de aankondiging zijn de maatregelen de eerste stappen op een langer traject en wordt het bredere werk geleid door de taskforce voor AI van de premier. In de aankondiging werd gewezen op de toezegging van de premier tijdens de Algemene Vergadering van de VN in september om alles te doen wat nodig is om de Britse bevolking te beschermen tegen AI-risico’s zodra die zich voordoen. Ook werd vermeld dat AI centraal zal staan tijdens het Britse voorzitterschap van de G20. De komende maanden richt de taskforce zich op de gebieden die het meest door AI worden geraakt: nationale veiligheid, economische groei en de toekomst van openbare diensten en de beroepsbevolking.