Великобритания объявила о мерах по снижению рисков ИИ и продлила пилотные проекты в сфере киберзащиты

12 октября 2026 года правительство Великобритании объявило о пакете мер по защите страны от рисков, связанных со всё более мощными системами ИИ. В их числе — продление программы киберзащиты с использованием передовых систем ИИ, которая, по словам правительства, уже помогла выявить и устранить более 1 000 потенциальных уязвимостей в государственных системах.

Объявление выпустили Кабинет министров, Институт безопасности ИИ (AISI), National Cyber Security Centre (NCSC) и Департамент цифровых технологий, культуры, СМИ и спорта. Министр по вопросам ИИ Канишка Нараян представил меры в Base One — научно-техническом инкубаторе Imperial College London — и выступил за комплексный подход к обеспечению устойчивости, в котором участвует всё общество. Он предупредил: по мере того как передовые системы ИИ становятся мощнее и обретают способность действовать автономно, последствия сбоев или злонамеренного использования могут стать гораздо серьёзнее.

«Я хочу, чтобы Великобритания стала одной из самых труднодоступных для атак с помощью искусственного интеллекта стран мира», — заявил Нараян. Он пообещал при необходимости принимать соответствующие законы и опираться на британскую научную экспертизу, технологические возможности и институты, чтобы понимать всё более мощные системы, противодействовать новым угрозам и реагировать на сбои. По его словам, компаниям, создающим самые мощные в мире системы ИИ, следует прислушиваться к предупреждениям своих учёных о серьёзных опасностях, изучать неожиданное поведение систем и не выпускать системы, риски которых невозможно надлежащим образом контролировать.

Согласно объявлению, новые меры развивают два пилотных проекта, которые помогли выявить и устранить уязвимости, а также обнаружить потенциальные киберугрозы. По словам правительства, продление программы поможет защитить государственные службы, которыми люди пользуются каждый день, снизить риски в краткосрочной перспективе и поддержать более широкое внедрение таких решений в государственном секторе в долгосрочной.

Изменения в законопроекте о кибербезопасности и готовность к инцидентам с ИИ

Правительство заявило, что рассмотрит возможность усилить отдельные положения законопроекта о кибербезопасности и устойчивости, а также расширить действующую систему регулирования, чтобы лучше защитить жизненно важные службы, например больницы и коммунальные предприятия, от новых рисков, связанных с ИИ. К ним относится риск утраты контроля над ИИ, когда автономные системы уклоняются от человеческого надзора. Кроме того, правительство изучит, как следует выявлять и регистрировать серьёзные инциденты с ИИ и ситуации, едва не приведшие к ним, а также как быстрее извлекать уроки, чтобы снизить вероятность будущего ущерба. Конкретные меры будут проработаны совместно с парламентариями, техническими экспертами и операторами, которым предстоит их реализовывать.

Совместно с NCSC и AISI также ведётся работа над планом реагирования на инциденты с участием ИИ-агентов — систем, способных выполнять сложные задачи практически без надзора со стороны человека. Как отмечается в объявлении, такой инцидент может развиваться быстрее и распространяться шире, чем другие крупные инциденты, к которым правительства готовятся реагировать; для решения этой задачи потребуются новые знания и возможности.

Пакет мер также включает верификацию ИИ — формирующуюся область, в рамках которой проверяют, выдерживают ли тщательную проверку заявления о том, как системы ИИ разрабатывались, тестировались и оценивались. Правительство заявило, что Великобритания хорошо подготовлена к ведущей роли в этой области, а подробности о поддержке британских инициатив по верификации ИИ будут представлены в ближайшие месяцы.

Министр по кибербезопасности Лиз Ллойд заявила, что киберинциденты продолжают нарушать работу организаций любого масштаба в частном и государственном секторах, поэтому, по её словам, крайне важно действовать на опережение в вопросах кибербезопасности. «Расширяя проекты, в рамках которых ИИ проходит испытания для защиты государственных служб, и продвигая законопроект о кибербезопасности, призванный укрепить нашу защиту, правительство ставит кибербезопасность и готовность к вызовам, связанным с ИИ, в центр цифрового будущего Великобритании», — сказала Ллойд.

Пилотный проект, на котором основаны данные об уязвимостях

В подтверждение приведённых данных в объявлении приводится тематическое исследование, опубликованное 12 июня 2026 года Департаментом науки, инноваций и технологий (DSIT) и NCSC. В нём описан пилотный проект, в рамках которого Government Cyber Coordination Centre (GC3) — совместная инициатива NCSC и DSIT — еженедельно проводил очные хакатоны. С помощью передовых систем ИИ участники сканировали общедоступные репозитории кода государственных структур. Работая со специалистами AISI и NCSC, команды искали ранее неизвестные уязвимости и устраняли их до того, как ими могли воспользоваться. GC3 не предписывал единого подхода: команды получали доступ к моделям и самостоятельно создавали инструменты.

В тематическом исследовании описано несколько рабочих процессов. Одна команда пропускала каждый общедоступный репозиторий через цепочку из шести этапов с участием ИИ-агентов: первичная сортировка, проверка, аудит, отслеживание, оценка и составление сводки. На каждом этапе результаты предыдущего этапа изучали и оспаривали; при этом в процесс была предусмотрена эскалация к специалистам: участник команды проверял каждую строку, повторно проверял наличие уязвимости и разбирал ложные срабатывания. Другая команда сначала использовала традиционные инструменты сканирования, в том числе Gitleaks, Trivy, Semgrep и Hadolint, а затем добавила три этапа с использованием моделей: поиск уязвимостей, изучение цепочек атак и первичную сортировку. Третий департамент свёл результаты аудита организации в целом, охватившего сотни сервисов, к пяти специализированным по предметным областям Claude Skills.

Как сообщает тематическое исследование, участники выявили в общей сложности 407 проблем, в том числе критические уязвимости, позволявшие обходить аутентификацию, получать доступ к данным и выполнять код удаленно. Все критические уязвимости были устранены, а признаков эксплуатации какой-либо из выявленных проблем не обнаружили. За месяц на токены для девяти государственных организаций потратили 13 000 фунтов стерлингов. Авторы сообщили, что модели выявляли уязвимости на стыке сервисов — традиционные сканеры этого делать не могут — и связывали бизнес-логику с техническими деталями.

Одна из критических проблем затрагивала устаревшие GitHub Actions в репозитории, поддерживающем ключевую государственную цифровую службу. Специально сформированный комментарий к открытому запросу на включение изменений мог позволить внешнему пользователю запустить цепочку рабочих процессов, что привело бы к произвольному удаленному выполнению кода на исполнителе GitHub Actions и потенциально дало бы возможность извлечь секреты и токены, доступные этому рабочему процессу. GC3 начнет второй этап пилотного проекта с участием большего числа ведомств, использованием дополнительных моделей и расширением области проверки: от общедоступного кода до закрытых систем.

Оценка моделей и более широкая правительственная программа

Нараян подтвердил, что специалисты AISI проводят строгую оценку новейшего поколения передовых моделей ИИ после работы с ведущими разработчиками ИИ и правительством США.

В объявлении также упоминается открытое письмо руководителям компаний, опубликованное 15 апреля 2026 года. В нем госсекретарь DSIT Лиз Кендалл и министр по вопросам безопасности Дэн Джарвис призвали компании уделять кибербезопасности первостепенное внимание на самом высоком уровне в своих организациях, обеспечить соблюдение базовых требований с помощью государственной программы Cyber Essentials и следовать рекомендациям NCSC, в том числе зарегистрироваться в бесплатной службе Early Warning. Она предупреждает организации о потенциальных кибератаках, чтобы те могли принять меры до того, как инцидент разрастется.

Согласно объявлению, эти меры — лишь первые шаги на долгом пути, а более масштабную работу возглавляет целевая группа премьер-министра по ИИ. В объявлении также напомнили об обязательстве премьер-министра, взятом в сентябре на Генеральной Ассамблее ООН, сделать все необходимое, чтобы защищать жителей Великобритании от возникающих рисков, связанных с ИИ. Кроме того, ИИ станет центральным направлением председательства Великобритании в G20. В ближайшие месяцы целевая группа сосредоточится на областях, которые ИИ затрагивает сильнее всего: национальной безопасности, экономическом росте, будущем государственных услуг и кадров.