Искусственный интеллект помог британским властям выявить и нейтрализовать 1352 уязвимости в цифровых сервисах госсектора. После успешного тестирования на сотнях правительственных проектов инициативу решено масштабировать на всю государственную инфраструктуру.
О расширении мер безопасности сообщил министр по делам ИИ Канишка Нараян во время выступления в Имперском колледже Лондона. Главная цель инициативы — сделать Великобританию одной из самых сложных мишеней для кибератак с применением современных цифровых инструментов.
Как нейросети инспектировали государственный софт
Тестирование проводилось правительственным подразделением Government Cyber Unit при участии экспертов Национального центра кибербезопасности (NCSC) и Института безопасности ИИ. Специалисты проверили 548 репозиториев с кодом, принадлежащих 18 государственным учреждениям.
Для сканирования систем инженеры объединили передовые языковые модели с классическими инструментами аудита:
- Применялся специализированный пайплайн из шести этапов на базе автономных ИИ-агентов.
- В связку с моделями вошли популярные сканеры безопасности:
Gitleaks,TrivyиSemgrep. - Алгоритмы не просто искали сигнатуры, но и выстраивали потенциальные векторы проникновения.
Несмотря на высокую степень автоматизации, окончательное решение оставалось за людьми: специалисты NCSC перепроверяли все найденные проблемы, отсекали ложные срабатывания и координировали выпуск патчей.
В одном из задокументированных кейсов исследователи обнаружили серьезную брешь в устаревшем сценарии GitHub Actions одного из сервисов. Любой внешний пользователь мог оставить определенный комментарий к пулл-реквесту, что запускало автоматизированный процесс, позволяя выполнить произвольный код на сервере и перехватить системные токены авторизации.
В ходе одного из четырехнедельных этапов тестирования затраты на токены ИИ составили около 13 000 фунтов стерлингов, при этом прямых свидетельств взлома или утечек обнаружено не было — все критические бреши устранили до компрометации.
Законодательные рамки и надзор за ИИ-агентами
Помимо защиты программного обеспечения с помощью ИИ, правительство Британии озабочено встречными рисками — атаками, организованными самими автономными системами. В связи с этим в готовящийся закон Cyber Security and Resilience Bill планируют внести ряд новых требований:
- Обязательное первичное уведомление об инцидентах безопасности в течение 24 часов для операторов критической инфраструктуры (энергетика, медицина, водоснабжение).
- Предоставление подробного технического отчета об инциденте в течение 72 часов.
- Создание механизмов расследования сбоев и нештатных ситуаций, вызванных поведением автономных ИИ-агентов.
Параллельно британский Институт безопасности ИИ продолжает стресс-тестирование флагманских моделей, включая Gemini 4 Argon от Google, оценивая их потенциал для кибератак еще до того, как они становятся общедоступными.