Storbritannien presenterar åtgärdspaket mot AI-risker och förlänger pilotprojekt inom cyberförsvar

Den brittiska regeringen presenterade ett åtgärdspaket den 12 oktober 2026 för att skydda Storbritannien mot riskerna med allt kraftfullare AI. Paketet omfattar bland annat en förlängning av ett cyberförsvarsprogram för avancerad AI, som enligt regeringen redan har bidragit till att hitta och åtgärda över 1 000 potentiella sårbarheter i offentliga system.

Tillkännagivandet gjordes av Cabinet Office, AI Security Institute (AISI), National Cyber Security Centre (NCSC) och Department for Digital, Culture, Media and Sport. AI-minister Kanishka Narayan presenterade åtgärderna på Base One, Imperial College Londons inkubator för vetenskap och teknik, och argumenterade för ett samhällsomfattande förhållningssätt till motståndskraft. Han varnade för att konsekvenserna av fel eller skadlig användning kan bli betydligt allvarligare i takt med att avancerade AI-system blir kraftfullare och får förmåga att agera autonomt.

”Jag vill att Storbritannien ska bli ett av de svåraste länderna i världen att angripa med hjälp av artificiell intelligens”, sade Narayan. Han lovade att lagstifta där det behövs och att ta till vara brittisk vetenskaplig expertis, teknisk kompetens och landets institutioner för att förstå allt kraftfullare system, motverka nya hot och agera när något går fel. Han sade att företag som utvecklar världens kraftfullaste AI-system bör ta sina forskares varningar om allvarliga faror på allvar, undersöka oväntat beteende och avstå från att släppa system vars risker inte kan kontrolleras på ett tillfredsställande sätt.

Enligt tillkännagivandet bygger satsningen vidare på två pilotprojekt som har bidragit till att hitta och åtgärda sårbarheter och upptäcka potentiella cyberhot. Enligt regeringen kommer en förlängning av programmet att bidra till att skydda de offentliga tjänster som människor förlitar sig på varje dag, minska riskerna på kort sikt och främja en bredare användning inom den offentliga sektorn på längre sikt.

Ändringar i cyberlagen och beredskap för AI-incidenter

Regeringen sade att den ska undersöka möjligheten att stärka delar av Cyber Security and Resilience Bill och det övergripande regelverket, så att samhällsviktiga tjänster som sjukhus och försörjningssystem får ett bättre skydd mot nya AI-relaterade risker. Det omfattar även risken att förlora kontrollen över AI, där autonoma system kringgår mänsklig tillsyn. Regeringen ska också undersöka hur allvarliga AI-incidenter och tillbud bör identifieras och rapporteras, och hur man snabbt kan dra lärdomar för att minska risken för framtida skador. Detaljerna i eventuella åtgärder ska utarbetas tillsammans med parlamentsledamöter, tekniska experter och de verksamhetsansvariga som ska genomföra dem.

Arbete pågår också tillsammans med NCSC och AISI för att ta fram sätt att hantera incidenter som involverar AI-agenter – system som kan utföra komplexa uppgifter med begränsad mänsklig tillsyn. En sådan incident kan utvecklas snabbare och få större spridning än andra allvarliga incidenter som regeringar är rustade att hantera, enligt tillkännagivandet. För att möta den utmaningen krävs ny expertis och nya förmågor.

Åtgärdspaketet omfattar även verifiering av AI, ett framväxande område som enligt tillkännagivandet granskar om påståenden om hur AI-system har utvecklats, testats och utvärderats håller för granskning. Regeringen sade att Storbritannien har goda förutsättningar att ta en ledande roll inom området och att mer information om stödet till brittiska AI-verifieringsinsatser kommer att presenteras under de kommande månaderna.

Cyberminister Liz Lloyd sade att cyberincidenter fortsätter att störa stora och små organisationer inom både privat och offentlig sektor, vilket enligt henne gör det affärskritiskt att ligga steget före inom cybersäkerhet. ”Genom att skala upp projekt där AI testas för att skydda offentliga tjänster och driva arbetet med en cyberlag som stärker vårt försvar sätter regeringen cybersäkerhet och AI-beredskap i centrum för Storbritanniens digitala framtid”, sade Lloyd.

Pilotprojektet bakom siffrorna om sårbarheter

Till stöd för sina siffror hänvisar tillkännagivandet till en fallstudie som publicerades den 12 juni 2026 av Department for Science, Innovation and Technology (DSIT) och NCSC. Den beskriver ett pilotprojekt där Government Cyber Coordination Centre (GC3), ett samarbete mellan NCSC och DSIT, anordnade hackathon på plats varje vecka. Där användes avancerad AI för att skanna offentliga kodarkiv inom den offentliga sektorn. Tillsammans med specialister från AISI och NCSC försökte teamen hitta och åtgärda tidigare oupptäckta sårbarheter innan de kunde utnyttjas. GC3 föreskrev inte ett enda tillvägagångssätt; teamen fick tillgång till modeller och utvecklade egna verktyg.

Fallstudien beskriver flera arbetsflöden. Ett team lät varje offentligt kodarkiv passera genom en AI-agentkedja i sex steg (grovsortering, validering, granskning, spårning, bedömning och sammanfattning), där varje steg läser föregående steg och ifrågasätter dess resultat. Vid behov gjordes en manuell eskalering: en teammedlem kontrollerade varje rad, verifierade på nytt om koden var exponerad och hanterade falska positiva resultat. Ett annat team använde först traditionella skanningsverktyg, däribland Gitleaks, Trivy, Semgrep och Hadolint, och lade sedan till tre modellsteg för upptäckt, undersökning av attackkedjor och grovsortering. En tredje avdelning kondenserade en organisationsövergripande granskning av hundratals tjänster till fem domänspecifika Claude Skills.

Deltagarna identifierade totalt 407 fynd, däribland kritiska svagheter som exponerade tjänster för kringgående av autentisering, dataexponering och fjärrkörning av kod, enligt fallstudien. Alla kritiska svagheter åtgärdades, och inga tecken på att någon av sårbarheterna hade utnyttjats identifierades. Kostnaden uppgick till 13 000 pund i token under månaden, fördelat på nio statliga organisationer. Författarna uppgav att modellerna spårade sårbarheter över tjänstegränser, något traditionella skannrar inte kan göra, och kopplade samman affärslogik med tekniska detaljer.

Ett kritiskt fynd gällde äldre GitHub Actions i ett kodarkiv som stöder en viktig digital tjänst för staten. En särskilt utformad kommentar i en öppen pull-förfrågan skulle kunna göra det möjligt för en extern användare att utlösa en kedja av arbetsflöden, vilket skulle leda till godtycklig fjärrkörning av kod på GitHub Actions-körmiljön och skapa en möjlig väg för att extrahera de hemligheter och token som arbetsflödet hade tillgång till. GC3 kommer att inleda en andra fas av pilotprojektet med fler departement, ytterligare modeller och en utvidgning från offentlig kod till slutna kodbaser.

Modellutvärderingar och ett bredare regeringsprogram

Narayan bekräftade att forskare vid AISI genomför rigorösa utvärderingar av den senaste generationen avancerade AI-modeller, efter ett samarbete med ledande AI-utvecklare och den amerikanska regeringen.

Tillkännagivandet hänvisar också till ett öppet brev till företagsledare som publicerades den 15 april 2026. I brevet uppmanade DSIT-ministern Liz Kendall och säkerhetsministern Dan Jarvis företagen att ta cybersäkerheten på allvar högst upp i organisationerna, se till att grunderna är på plats med regeringens Cyber Essentials-program och följa NCSC:s råd. Det innefattar att registrera sig för den kostnadsfria tjänsten Early Warning, som varnar organisationer för potentiella cyberattacker så att de kan agera innan en incident eskalerar.

Enligt tillkännagivandet är åtgärderna de första stegen på en längre resa, och det bredare arbetet leds av premiärministerns AI-arbetsgrupp. I tillkännagivandet hänvisades till premiärministerns åtagande vid FN:s generalförsamling i september att göra allt som krävs för att skydda britter mot AI-risker allteftersom de uppstår. Där sades också att AI kommer att stå i centrum för Storbritanniens G20-ordförandeskap. Under de kommande månaderna kommer arbetsgruppen att fokusera på de områden som påverkas mest av AI, däribland nationell säkerhet, ekonomisk tillväxt samt framtiden för offentliga tjänster och arbetsmarknaden.