Um juízo datado, na linguagem da própria agência
O Centro Nacional de Cibersegurança do Reino Unido publicou a sua revisão anual de 2026 a 3 de novembro, e o documento inclui um juízo datado sobre a IA na sua linguagem formal de probabilidade. É muito provável que, entre agora e 2028, tenha sido usado malware movido por IA num ataque de ransomware contra a infraestrutura nacional crítica britânica, escreve a agência. Um segundo juízo central do capítulo sobre IA repete-o de forma mais direta: é muito provável que malware com IA seja usado nesse tipo de ataque.
A revisão junta a isso uma previsão sobre atores estatais com o mesmo grau de confiança. Até 2028 é muito provável que a China, a Rússia e outros Estados usem rotineiramente capacidades cibernéticas com IA para alcançar os seus objetivos geopolíticos, com o Reino Unido a enfrentar um aumento da escala e da velocidade dos ataques sofisticados. Em separado, avalia que os programas de capacidades chineses permitirão quase certamente melhorar a identificação de vulnerabilidades, aumentar a eficiência da seleção de alvos e reforçar operações de acesso contra infraestruturas críticas e outros alvos estratégicos.
Mais rápido, não mais novo
A agência é explícita ao dizer que não espera que a IA produza ataques desconhecidos. O maior impacto da IA será a aceleração e o aumento de escala de táticas, técnicas e procedimentos já existentes, escreve, e não a criação de novos vetores de ataque. Considera quase certo que a IA funcionará como multiplicador de força, e muito provável que continue a ser integrada nas operações dos atacantes, aumentando a velocidade, a escala e a eficiência dos métodos existentes em vez de conduzir sozinha ataques de ponta a ponta. Os operadores humanos, acrescenta, muito provavelmente continuam essenciais para dirigir e validar o que os modelos produzem.
Esse enquadramento molda a forma como o NCSC descreve o problema. No comunicado que acompanha a revisão, o presidente executivo Richard Horne disse que, durante décadas, o país se tem saído bem a fazer tecnologia ao mais baixo custo. O argumento da própria revisão é que as fragilidades que os atacantes vão explorar já são conhecidas, e que a tecnologia nova altera a velocidade e a escala a que podem ser alcançadas.
Um dos juízos sobre IA aponta para dentro. É muito provável, diz a agência, que o uso de “IA sombra” — trabalhadores que passam dados da empresa para dispositivos pessoais a fim de usar ferramentas não aprovadas — deixe a segurança de uma organização exposta a grupos de ameaça persistente avançada e a criminosos, e quase certo que se abra um fosso crescente onde as tarefas de segurança são entregues com frequência a essas ferramentas.
Os processos do ano
A equipa de gestão de incidentes recebeu 1.831 comunicações de ataques ao longo do ano. Após triagem, 337 incidentes exigiram o seu apoio, e 80 desses foram classificados como de importância nacional. Através do serviço Early Warning do NCSC, a equipa notificou 8.500 organizações de atividade que indicava comprometimento dos seus sistemas.
A revisão também atribui um preço a um incidente. O ataque à Jaguar Land Rover gerou cerca de 196 milhões de libras em custos diretos relacionados com o ciberataque, diz o documento, e teve efeito direto no PIB, contribuindo para que a economia britânica crescesse apenas 0,1% no terceiro trimestre de 2025.
O que observar
O comunicado do NCSC menciona dois programas financiados neste contexto: 60 milhões de libras para a primeira fase de um escudo cibernético nacional e 70 milhões para um centro nacional de exposição e vulnerabilidades em tempo real. Saber se algum estará no terreno antes da janela de 2028 fixada pela revisão é a pergunta mensurável.
