Un juicio con fecha, en el lenguaje de la propia agencia
El Centro Nacional de Ciberseguridad del Reino Unido publicó su Revisión Anual 2026 el 3 de noviembre, y el documento incluye un juicio con fecha sobre la IA en su lenguaje formal de probabilidad. Es muy probable que, entre ahora y 2028, se haya usado malware impulsado por IA en un ataque de ransomware contra la infraestructura nacional crítica del Reino Unido, dice el texto. Un segundo juicio clave del capítulo sobre IA lo repite de forma más directa: es muy probable que se use malware con IA en un ataque de ransomware contra esa infraestructura.
La revisión acompaña eso con un pronóstico sobre actores estatales con el mismo nivel de confianza. Para 2028 es muy probable que China, Rusia y otros Estados usen de forma rutinaria capacidades cibernéticas con IA para alcanzar sus objetivos geopolíticos, y que el Reino Unido afronte un aumento de la escala y la velocidad de los ataques sofisticados. Por separado, concluye que los programas de capacidades de China permitirán casi con certeza mejorar la identificación de vulnerabilidades, aumentar la eficiencia de la selección de objetivos y reforzar las operaciones de acceso contra infraestructuras críticas y otros objetivos estratégicos.
Más rápido, no más nuevo
La agencia es explícita en que no espera que la IA produzca ataques desconocidos. El mayor impacto de la IA será la aceleración y la ampliación de tácticas, técnicas y procedimientos ya existentes, dice la revisión, y no la generación de nuevos vectores de ataque. Considera casi seguro que la IA actuará como multiplicador de fuerza, y muy probable que siga integrándose en las operaciones de los atacantes aumentando la velocidad, la escala y la eficiencia de los métodos existentes, en lugar de ejecutar ataques completos de forma autónoma. Los operadores humanos, añade, muy probablemente siguen siendo esenciales para dirigir y validar lo que producen los modelos.
Ese marco define cómo describe el NCSC el problema. En el comunicado que acompaña al informe, su director ejecutivo, Richard Horne, dijo que durante décadas el país ha salido adelante haciendo tecnología a bajo coste. El argumento del propio informe es que las debilidades que explotarán los atacantes ya se conocen, y que la nueva tecnología cambia la velocidad y la escala con que pueden alcanzarse.
Uno de los juicios sobre IA mira hacia dentro. Es muy probable, dice la agencia, que el uso de “IA en la sombra” —empleados que pasan datos de la empresa a dispositivos personales para usar herramientas no aprobadas— deje la seguridad de una organización expuesta a grupos de amenaza persistente avanzada y a delincuentes, y casi seguro que se abra una brecha creciente allí donde las tareas de seguridad se delegan con frecuencia a esas herramientas.
El trabajo del año
El equipo de gestión de incidentes recibió 1.831 informes de ataques durante el año. Tras el triaje, 337 incidentes requirieron su apoyo, y 80 de ellos fueron clasificados como de importancia nacional. A través del servicio de Alerta Temprana del NCSC, el equipo notificó a 8.500 organizaciones actividad que indicaba que sus sistemas habían sido comprometidos.
La revisión también pone precio a un incidente. El ataque a Jaguar Land Rover generó unos 196 millones de libras en costes directos relacionados con el ciberataque, dice el documento, y tuvo un efecto directo en el PIB, contribuyendo a que la economía británica creciera solo un 0,1% en el tercer trimestre de 2025.
Qué vigilar
El comunicado del NCSC menciona dos programas financiados en este contexto: 60 millones de libras para la primera fase de un Escudo Cibernético nacional y 70 millones para un centro nacional de exposición y vulnerabilidades en tiempo real. Si alguno estará operativo antes de la ventana de 2028 que fija el informe es la pregunta medible.
