Vương quốc Anh công bố gói biện pháp ứng phó rủi ro AI và mở rộng các chương trình thí điểm phòng thủ mạng

Chính phủ Vương quốc Anh đã công bố một gói biện pháp vào ngày 12 tháng 10 năm 2026 nhằm bảo vệ nước này trước những rủi ro do AI ngày càng mạnh mẽ gây ra. Các biện pháp bao gồm mở rộng chương trình an ninh mạng dành cho AI tiên phong, mà theo chính phủ, đã giúp phát hiện và khắc phục hơn 1.000 lỗ hổng tiềm ẩn trong các hệ thống của chính phủ.

Thông báo do Cabinet Office, Viện An ninh AI (AISI), National Cyber Security Centre (NCSC) và Bộ Kỹ thuật số, Văn hóa, Truyền thông và Thể thao ban hành. Bộ trưởng phụ trách AI Kanishka Narayan đã trình bày các biện pháp tại Base One, vườn ươm khoa học và công nghệ của Imperial College London, đồng thời kêu gọi xây dựng khả năng chống chịu với sự tham gia của toàn xã hội. Ông cảnh báo rằng khi các hệ thống AI tiên phong ngày càng mạnh mẽ và có khả năng hoạt động tự chủ, hậu quả tiềm tàng do sự cố hoặc hành vi sử dụng có chủ đích gây hại có thể trở nên nghiêm trọng hơn nhiều.

“Tôi muốn Vương quốc Anh trở thành một trong những quốc gia khó bị tấn công nhất thế giới bằng trí tuệ nhân tạo”, Narayan nói. Ông cam kết sẽ ban hành luật khi cần thiết, đồng thời dựa vào chuyên môn khoa học, năng lực công nghệ và các thể chế của Anh để tìm hiểu những hệ thống ngày càng mạnh mẽ, đối phó với các mối đe dọa mới nổi và ứng phó khi có sự cố. Ông nói rằng các công ty xây dựng những hệ thống AI mạnh mẽ nhất thế giới cần lưu tâm đến cảnh báo của các nhà khoa học về những nguy cơ nghiêm trọng, điều tra các hành vi bất ngờ và không triển khai bất kỳ hệ thống nào nếu không thể kiểm soát đầy đủ rủi ro của hệ thống đó.

Theo thông báo, động thái này tiếp nối hai chương trình thí điểm đã giúp phát hiện, khắc phục các lỗ hổng và nhận diện những mối đe dọa mạng tiềm ẩn. Chính phủ cho biết việc mở rộng chương trình sẽ góp phần bảo vệ các dịch vụ công mà người dân dựa vào mỗi ngày, giảm thiểu rủi ro trong ngắn hạn và hỗ trợ việc ứng dụng rộng rãi hơn trong khu vực công về lâu dài.

Những thay đổi trong Dự luật An ninh mạng và Khả năng chống chịu, cùng công tác chuẩn bị ứng phó sự cố AI

Chính phủ cho biết sẽ xem xét tăng cường một số nội dung trong Dự luật An ninh mạng và Khả năng chống chịu cũng như khuôn khổ quản lý rộng hơn, nhằm bảo vệ tốt hơn các dịch vụ thiết yếu như bệnh viện và ngành dịch vụ tiện ích trước những rủi ro mới nổi liên quan đến AI, bao gồm nguy cơ AI mất kiểm soát, trong đó các hệ thống tự chủ né tránh sự giám sát của con người. Chính phủ cũng sẽ xem xét cách nhận diện và báo cáo các sự cố AI nghiêm trọng cũng như những sự cố suýt xảy ra, và cách nhanh chóng rút kinh nghiệm để giảm nguy cơ gây hại trong tương lai. Nội dung cụ thể của mọi biện pháp sẽ được xây dựng cùng các nghị sĩ, chuyên gia kỹ thuật và đơn vị vận hành chịu trách nhiệm triển khai.

NCSC và AISI cũng đang phối hợp xây dựng phương án ứng phó với các sự cố liên quan đến tác nhân AI, tức những hệ thống có thể thực hiện các nhiệm vụ phức tạp mà chỉ cần rất ít sự giám sát của con người. Theo thông báo, một sự cố như vậy có thể diễn biến nhanh hơn và lan rộng hơn các sự cố lớn khác mà chính phủ đã được thiết kế để xử lý; ứng phó với thách thức đó sẽ đòi hỏi chuyên môn và năng lực mới.

Gói biện pháp cũng mở rộng sang lĩnh vực kiểm chứng AI, được thông báo mô tả là một lĩnh vực mới nổi nhằm đánh giá xem những tuyên bố về cách các hệ thống AI được phát triển, thử nghiệm và thẩm định có đứng vững trước sự xem xét kỹ lưỡng hay không. Chính phủ cho biết Vương quốc Anh có vị thế thuận lợi để đi đầu trong lĩnh vực này và sẽ công bố thêm chi tiết về hỗ trợ dành cho các nỗ lực kiểm chứng AI tại Anh trong những tháng tới.

Bộ trưởng phụ trách an ninh mạng Liz Lloyd cho biết các sự cố mạng tiếp tục gây gián đoạn cho các tổ chức lớn nhỏ trong cả khu vực tư nhân lẫn công, tạo ra nhu cầu cấp thiết về mặt kinh doanh, theo cách bà mô tả, là phải luôn chủ động trong công tác an ninh mạng. “Thông qua việc mở rộng các dự án thí điểm ứng dụng AI để bảo vệ dịch vụ công và thúc đẩy Dự luật An ninh mạng nhằm tăng cường khả năng phòng thủ, chính phủ đang đặt an ninh mạng và công tác chuẩn bị ứng phó AI vào vị trí trọng tâm trong tương lai số của Vương quốc Anh”, Lloyd nói.

Chương trình thí điểm đằng sau các số liệu về lỗ hổng

Thông báo dẫn nghiên cứu tình huống được công bố ngày 12 tháng 6 năm 2026 bởi Bộ Khoa học, Đổi mới và Công nghệ (DSIT) cùng NCSC để làm căn cứ cho các số liệu của mình. Tài liệu này mô tả một chương trình thí điểm trong đó Trung tâm Điều phối An ninh mạng Chính phủ (GC3), một quan hệ đối tác giữa NCSC và DSIT, tổ chức các cuộc thi tìm lỗi trực tiếp hằng tuần, sử dụng AI tiên phong để quét các kho lưu trữ mã nguồn công khai trên toàn bộ các cơ quan chính phủ. Phối hợp với các chuyên gia của AISI và NCSC, các nhóm tìm cách phát hiện và giảm thiểu những lỗ hổng chưa từng được nhận diện trước đó, trước khi chúng có thể bị khai thác. GC3 không yêu cầu áp dụng một phương pháp duy nhất; các nhóm được cấp quyền truy cập mô hình và tự xây dựng công cụ của mình.

Nghiên cứu tình huống mô tả một số quy trình. Một nhóm đưa từng kho lưu trữ công khai qua chuỗi tác nhân AI gồm sáu giai đoạn (phân loại ban đầu, xác thực, kiểm tra, truy vết, đánh giá và tóm tắt), trong đó mỗi giai đoạn đọc và phản biện kết quả của giai đoạn trước, đồng thời có bước chuyển cấp cho con người: một thành viên trong nhóm kiểm tra từng dòng, xác minh lại khả năng bị khai thác và xử lý các kết quả dương tính giả. Một nhóm khác trước tiên chạy các công cụ quét thông thường, gồm Gitleaks, Trivy, Semgrep và Hadolint, sau đó bổ sung ba giai đoạn sử dụng mô hình để phát hiện, điều tra chuỗi tấn công và phân loại ban đầu. Một bộ phận thứ ba đã cô đọng cuộc kiểm toán trên toàn tổ chức, bao quát hàng trăm dịch vụ, thành năm kỹ năng Claude chuyên biệt theo từng lĩnh vực.

Theo báo cáo nghiên cứu tình huống, những người tham gia đã phát hiện tổng cộng 407 vấn đề, trong đó có các điểm yếu nghiêm trọng khiến dịch vụ có nguy cơ bị vượt qua cơ chế xác thực, lộ dữ liệu và thực thi mã từ xa. Tất cả các điểm yếu nghiêm trọng đều đã được khắc phục và không phát hiện bằng chứng cho thấy bất kỳ vấn đề nào bị khai thác; chi phí là 13.000 bảng Anh tiền token trong suốt một tháng tại chín tổ chức chính phủ. Các tác giả cho biết các mô hình đã lần theo lỗ hổng xuyên qua ranh giới giữa các dịch vụ, điều mà những công cụ quét truyền thống không thể làm được, đồng thời liên kết logic nghiệp vụ với thông tin kỹ thuật chi tiết.

Một phát hiện nghiêm trọng liên quan đến các GitHub Actions cũ trong một kho mã hỗ trợ một dịch vụ số trọng yếu của chính phủ. Một bình luận được tạo đặc biệt trên yêu cầu kéo đang mở có thể cho phép người dùng bên ngoài kích hoạt một chuỗi quy trình làm việc, dẫn đến việc thực thi mã từ xa tùy ý trên trình chạy GitHub Actions và tạo ra khả năng khai thác để lấy các bí mật và token mà quy trình làm việc đó có thể truy cập. GC3 sẽ bắt đầu giai đoạn hai của chương trình thí điểm với sự tham gia của nhiều bộ ngành hơn, bổ sung các mô hình mới và mở rộng phạm vi từ mã công khai sang các hệ thống mã nguồn đóng.

Đánh giá mô hình và chương trình rộng hơn của chính phủ

Narayan xác nhận rằng các nhà khoa học của AISI đang tiến hành đánh giá nghiêm ngặt thế hệ mô hình AI tiên tiến mới nhất, sau quá trình hợp tác với các nhà phát triển AI hàng đầu và chính phủ Mỹ.

Thông báo cũng dẫn liên kết đến thư ngỏ gửi các lãnh đạo doanh nghiệp được công bố ngày 15 tháng 4 năm 2026. Trong thư, Bộ trưởng DSIT Liz Kendall và Bộ trưởng An ninh Dan Jarvis kêu gọi doanh nghiệp coi trọng an ninh mạng ở cấp lãnh đạo cao nhất, thực hiện đúng những biện pháp cơ bản theo chương trình Cyber Essentials của chính phủ và làm theo hướng dẫn của NCSC, trong đó có việc đăng ký dịch vụ Early Warning miễn phí. Dịch vụ này cảnh báo các tổ chức về những cuộc tấn công mạng tiềm ẩn để họ có thể hành động trước khi sự cố leo thang.

Theo thông báo, các biện pháp này là những bước đầu tiên trong một hành trình dài hơn, còn công việc trên quy mô rộng hơn do Lực lượng đặc nhiệm về trí tuệ nhân tạo của Thủ tướng dẫn dắt. Thông báo nhắc lại cam kết của Thủ tướng tại Đại hội đồng Liên Hợp Quốc vào tháng 9 rằng sẽ làm mọi điều cần thiết để bảo vệ người dân Anh trước các rủi ro từ AI khi chúng phát sinh, đồng thời cho biết AI sẽ là trọng tâm trong nhiệm kỳ Chủ tịch G20 của Vương quốc Anh. Trong những tháng tới, lực lượng đặc nhiệm sẽ tập trung vào các lĩnh vực chịu tác động nhiều nhất từ AI, bao gồm an ninh quốc gia, tăng trưởng kinh tế, tương lai của các dịch vụ công và lực lượng lao động.