The Pulse
Il Regno Unito estende i test di cybersicurezza con l’IA di frontiera nella pubblica amministrazione
Il governo britannico estenderà l’uso dell’IA di frontiera per individuare e correggere le vulnerabilità nei sistemi del settore pubblico, dopo che due progetti pilota hanno identificato più di 1.000 potenziali punti deboli. I ministri valu
AI.info Team · Scritto con l’IA ·
«Voglio che la Gran Bretagna diventi uno dei Paesi più difficili al mondo da attaccare usando l’intelligenza artificiale».
Kanishka Narayan, ministro per l’IA, governo britannico
Dai progetti pilota a un uso più ampio nel settore pubblico
Il 12 ottobre il governo britannico ha annunciato che amplierà l’impiego dell’IA di frontiera per rafforzare le difese informatiche dei servizi pubblici. Secondo il governo, due progetti pilota hanno contribuito a individuare e affrontare più di 1.000 potenziali vulnerabilità nei sistemi governativi, oltre a rilevare potenziali minacce informatiche.
L’annuncio affianca a questa espansione i piani per valutare i rischi legati all’IA per i servizi essenziali, tra cui ospedali e servizi di pubblica utilità. Il governo esaminerà se rafforzare alcune parti del regime previsto dal Cyber Security and Resilience Bill, comprese le modalità con cui vengono individuati e segnalati gli incidenti gravi e i mancati incidenti che coinvolgono l’IA. Non ha ancora indicato modifiche legislative specifiche.
Secondo l’annuncio, anche i ricercatori dell’AI Security Institute britannico stanno valutando l’ultima generazione di modelli avanzati di IA, dopo aver lavorato con sviluppatori di IA e con il governo degli Stati Uniti. L’annuncio non indica i nomi dei modelli né pubblica i risultati delle valutazioni.
Un progetto pilota ha individuato 407 problemi di sicurezza
Uno studio di caso pubblicato dal governo a giugno offre uno sguardo più approfondito a uno dei filoni dei test. Il Government Cyber Coordination Centre ha organizzato sessioni settimanali in presenza, durante le quali i team hanno usato l’IA per esaminare i repository pubblici di codice del governo, lavorando con specialisti del National Cyber Security Centre e dell’AI Security Institute.
Il progetto ha registrato 407 problemi in nove enti governativi nell’arco di un mese. Tra questi figuravano vulnerabilità che consentivano di aggirare l’autenticazione, esporre dati ed eseguire codice da remoto; secondo lo studio di caso, tutte le vulnerabilità critiche sono state corrette e chi ha condotto le indagini non ha trovato prove che fossero state sfruttate. Lo studio quantifica il costo dei token impiegati in 13.000 sterline.
I 407 problemi riguardano lo studio di caso di giugno; l’annuncio del governo di ottobre fornisce una cifra distinta e complessiva di più di 1.000 potenziali vulnerabilità individuate e affrontate nei due progetti pilota. Il resoconto di giugno afferma che la fase successiva avrebbe coinvolto altri dipartimenti e modelli ed esteso il lavoro dal codice pubblico ai sistemi closed source. L’annuncio di ottobre non precisa quando inizierà questa estensione.
La verifica umana resta parte del processo
Il progetto pilota di giugno ha sperimentato più di un metodo. Un team ha usato una pipeline di agenti di IA in sei fasi per esaminare i repository, con una persona incaricata di controllare i problemi individuati e verificare l’esposizione; un altro ha usato strumenti di scansione consolidati per produrre segnalazioni che i modelli potessero esaminare. Un team distinto ha creato cinque Claude Skills per rendere ripetibili le verifiche su centinaia di servizi.
Queste misure riflettono un limite fondamentale dei risultati del progetto pilota: l’IA può far emergere potenziali problemi più rapidamente di quanto le persone possano verificarli, e individuare una vulnerabilità non significa di per sé correggerla. I dipartimenti dovevano comunque valutare i problemi individuati e sottoporre le vulnerabilità sfruttabili ai processi di correzione esistenti. Secondo lo studio di caso, i risultati migliori sono arrivati da flussi di lavoro strutturati e dalla verifica di esperti, non semplicemente dalla scelta di un particolare modello.
Nuovi piani per gli incidenti che coinvolgono agenti di IA
Accanto ai test difensivi, il National Cyber Security Centre e l’AI Security Institute stanno elaborando piani per rispondere agli incidenti che coinvolgono agenti di IA capaci di svolgere compiti complessi con una supervisione umana limitata. Il governo avverte che un incidente del genere potrebbe evolversi più rapidamente e colpire più sistemi rispetto ai gravi incidenti per cui sono state progettate le strutture di risposta esistenti.
I ministri consulteranno parlamentari, esperti tecnici e i soggetti che dovrebbero attuare eventuali nuove misure di segnalazione. L’annuncio indica anche la verifica dell’IA — il controllo delle affermazioni su come i sistemi sono stati costruiti, testati e valutati — come un altro ambito che il Regno Unito potrebbe sostenere in futuro, promettendo maggiori dettagli nei prossimi mesi.
Il passo politico immediato è un esame, non un nuovo obbligo di legge. Il governo si è impegnato a estendere il lavoro pratico di cybersicurezza assistito dall’IA, ma non ha ancora pubblicato la portata del programma, il calendario o le regole per segnalare gli incidenti legati all’IA.