Reino Unido anuncia pacote contra riscos da IA e amplia pilotos de defesa cibernética

O governo do Reino Unido anunciou um pacote de medidas em 12 de outubro de 2026 para proteger o país dos riscos decorrentes de uma IA cada vez mais poderosa. Entre as medidas está a ampliação de um programa de defesa cibernética voltado à IA de fronteira, que, segundo o governo, já ajudou a identificar e corrigir mais de 1.000 possíveis vulnerabilidades em sistemas governamentais.

O anúncio foi feito pelo Cabinet Office, pelo AI Security Institute (AISI), pelo National Cyber Security Centre (NCSC) e pelo Departamento de Digital, Cultura, Mídia e Esporte. O ministro da IA, Kanishka Narayan, apresentou as medidas na Base One, incubadora de ciência e tecnologia do Imperial College London, defendendo uma abordagem que envolva toda a sociedade para fortalecer a resiliência. Ele alertou que, à medida que os sistemas de IA de fronteira se tornam mais poderosos e capazes de agir de forma autônoma, as possíveis consequências de falhas ou do uso malicioso podem se tornar muito mais graves.

“Quero que o Reino Unido se torne um dos países mais difíceis do mundo de atacar usando inteligência artificial”, afirmou Narayan. Ele se comprometeu a legislar sempre que necessário e a recorrer à expertise científica, à capacidade tecnológica e às instituições britânicas para compreender sistemas cada vez mais poderosos, combater ameaças emergentes e responder quando algo der errado. Segundo ele, as empresas que desenvolvem os sistemas de IA mais poderosos do mundo devem levar a sério os alertas de seus cientistas sobre perigos graves, investigar comportamentos inesperados e não disponibilizar nenhum sistema cujos riscos não possam ser controlados adequadamente.

Segundo o anúncio, a iniciativa dá continuidade a dois projetos-piloto que ajudaram a identificar e corrigir vulnerabilidades e detectar possíveis ameaças cibernéticas. A ampliação do programa, afirmou o governo, ajudará a proteger os serviços públicos dos quais as pessoas dependem todos os dias, reduzirá os riscos no curto prazo e apoiará a adoção da IA no setor público a longo prazo.

Mudanças no projeto de lei de cibersegurança e preparação para incidentes de IA

O governo afirmou que avaliará o fortalecimento de partes do Projeto de Lei de Cibersegurança e Resiliência e do regime mais amplo, para proteger melhor serviços essenciais, como hospitais e serviços públicos, contra riscos emergentes relacionados à IA, incluindo o risco de perda de controle da IA, quando sistemas autônomos escapam à supervisão humana. Também examinará como identificar e comunicar incidentes graves de IA e quase acidentes, e como aprender rapidamente com eles para reduzir o risco de danos futuros. Os detalhes de quaisquer medidas serão definidos em conjunto com parlamentares, especialistas técnicos e os operadores responsáveis por implementá-las.

Também está em andamento, com o NCSC e o AISI, um trabalho sobre como responder a incidentes envolvendo agentes de IA, sistemas capazes de realizar tarefas complexas com pouca supervisão humana. Segundo o anúncio, um incidente desse tipo pode se desenrolar mais rapidamente e se espalhar mais do que outros grandes incidentes para os quais os governos estão preparados, e enfrentar esse desafio exigirá novas competências e capacidades.

O pacote também abrange a verificação de IA, que o anúncio descreve como um campo emergente que examina se resistem ao escrutínio as alegações sobre como os sistemas de IA foram desenvolvidos, testados e avaliados. O governo afirmou que o Reino Unido está bem posicionado para assumir a liderança nesse campo e que, nos próximos meses, divulgará mais detalhes sobre o apoio às iniciativas britânicas de verificação de IA.

A ministra da Cibersegurança, Liz Lloyd, afirmou que incidentes cibernéticos continuam a causar transtornos a organizações de todos os portes, nos setores público e privado, criando, segundo ela, uma necessidade essencial para os negócios de manter uma postura proativa em relação à cibersegurança. “Ao ampliar projetos-piloto que testam o uso da IA para proteger os serviços públicos e fazer avançar um projeto de lei de cibersegurança para reforçar nossas defesas, o governo está colocando a cibersegurança e a preparação para a IA no centro do futuro digital do Reino Unido”, afirmou Lloyd.

O piloto por trás dos números de vulnerabilidades

O anúncio cita um estudo de caso publicado em 12 de junho de 2026 pelo Departamento de Ciência, Inovação e Tecnologia (DSIT) e pelo NCSC para embasar os números apresentados. O documento descreve um projeto-piloto no qual o Government Cyber Coordination Centre (GC3), uma parceria entre o NCSC e o DSIT, organizou hackathons presenciais semanais que usaram IA de fronteira para analisar repositórios públicos de código em todo o governo. Em colaboração com especialistas do AISI e do NCSC, as equipes buscaram identificar e mitigar vulnerabilidades ainda não detectadas, antes que pudessem ser exploradas. O GC3 não impôs uma abordagem única: as equipes tiveram acesso a modelos e desenvolveram suas próprias ferramentas.

O estudo de caso descreve vários fluxos de trabalho. Uma equipe submeteu cada repositório público a uma cadeia de agentes de IA com seis etapas (triagem, validação, auditoria, rastreamento, julgamento e resumo), na qual cada etapa lê e questiona a anterior, com escalonamento manual: um integrante da equipe verificava cada linha, confirmava novamente a exposição e tratava os falsos positivos. Outra equipe começou usando ferramentas convencionais de análise, incluindo Gitleaks, Trivy, Semgrep e Hadolint, e depois acrescentou três etapas com modelos, voltadas à descoberta, à investigação de cadeias de ataque e à triagem. Um terceiro departamento condensou uma auditoria de toda a organização, abrangendo centenas de serviços, em cinco Claude Skills especializadas por domínio.

Os participantes identificaram 407 constatações ao todo, incluindo vulnerabilidades críticas que permitiam contornar a autenticação, expor dados e executar código remotamente, informa o estudo de caso. Todas as vulnerabilidades críticas foram corrigidas, e não foram encontradas evidências de exploração de nenhuma das constatações. O custo foi de £13.000 em tokens ao longo do mês, em nove organizações governamentais. Os autores afirmaram que os modelos rastrearam vulnerabilidades entre os limites dos serviços, algo que os scanners tradicionais não conseguem fazer, e relacionaram a lógica de negócios aos detalhes técnicos.

Uma constatação crítica envolveu fluxos de trabalho legados do GitHub Actions em um repositório que dá suporte a um importante serviço digital do governo. Um comentário especialmente elaborado em uma solicitação de pull aberta poderia permitir que um usuário externo desencadeasse uma sequência de fluxos de trabalho, resultando na execução remota de código arbitrário no executor do GitHub Actions e criando uma possível via para extrair os segredos e tokens disponíveis para aquele fluxo de trabalho. O GC3 iniciará uma segunda fase do projeto-piloto com mais departamentos, modelos adicionais e a ampliação do escopo, que passará de código público a ambientes de código fechado.

Avaliações de modelos e programa governamental mais amplo

Narayan confirmou que cientistas do AISI estão realizando avaliações rigorosas da geração mais recente de modelos avançados de IA, dando continuidade ao trabalho com importantes desenvolvedores de IA e com o governo dos EUA.

O anúncio também menciona uma carta aberta a líderes empresariais, publicada em 15 de abril de 2026, na qual a secretária de Estado do DSIT, Liz Kendall, e o ministro da Segurança, Dan Jarvis, instaram as empresas a levar a cibersegurança a sério desde os mais altos níveis de suas organizações, a acertar o básico com o programa Cyber Essentials do governo e a seguir as recomendações do NCSC, inclusive inscrevendo-se no serviço gratuito Early Warning, que alerta as organizações sobre possíveis ataques cibernéticos para que possam agir antes que um incidente se agrave.

Segundo o anúncio, essas medidas são os primeiros passos de uma jornada mais longa, e o trabalho mais amplo está sendo liderado pela força-tarefa de IA do primeiro-ministro. O anúncio destacou o compromisso assumido pelo primeiro-ministro na Assembleia Geral da ONU, em setembro, de fazer tudo o que for necessário para proteger a população britânica dos riscos da IA à medida que surgirem, e afirmou que a IA será central durante a presidência do Reino Unido no G20. Nos próximos meses, a força-tarefa se concentrará nas áreas mais afetadas pela IA, abrangendo a segurança nacional, o crescimento econômico e o futuro dos serviços públicos e da força de trabalho.