Britanija je AI-jem našla 1.352 ranjivosti — sada sprema odgovor na agente

Britanska vlada izvijestila je Parlament 12. listopada 2026. da su dva pilota uz pomoć umjetne inteligencije pronašla i obradila 1.352 ranjivosti u 548 repozitorija koda iz 18 državnih tijela. Istodobno je najavila proširenje programa kibernetičke obrane i razvoj odgovora na ozbiljne incidente koje bi mogli prouzročiti autonomni AI agenti. Pregled koda već je proveden; poseban postupak za takve incidente još se priprema.

Ministar za umjetnu inteligenciju Kanishka Narayan predstavio je mjere u inkubatoru Base One pri Imperial College London te u vladinoj objavi poručio: „I want Britain to become one of the hardest countries in the world to attack using artificial intelligence.” Najava povezuje dva različita zadatka: upotrebu AI-ja za otkrivanje slabosti u državnim sustavima i pripremu države za štetu koju bi samostalno djelujući AI sustavi mogli izazvati.

Što su piloti pronašli u državnom kodu

Stručnjaci jedinice Government Cyber Unit proteklih su mjeseci iskušavali napredne AI sustave na stvarnim problemima kibernetičke sigurnosti javnog sektora. U pilotima su tražili i obrađivali slabosti u kodu, a AI je organizacijama pomagao i pri otkrivanju naprednih kibernetičkih prijetnji. Objavljeni rezultat odnosi se na sudjelujuća državna tijela i njihove repozitorije, a ne na sve britanske javne sustave.

Raniji državni pokus pokazuje kako je izgledao dio tog rada. Prikaz portala AI News navodi da je lipanjska vježba tijekom mjesec dana donijela 407 nalaza u devet državnih organizacija, uz približno 13.000 funti troška za AI tokene. Timovi su kombinirali modele s postojećim alatima za skeniranje, a sigurnosni stručnjaci provjeravali su nalaze prije daljnjeg postupanja. Jedna otkrivena slabost u starijem procesu GitHub Actions mogla je omogućiti izvršavanje koda putem posebno oblikovanog komentara na zahtjev za spajanje koda.

Lipanjski nalazi ne mogu se jednostavno pribrojiti listopadskom ukupnom rezultatu: nije navedeno ulaze li već u njega. Za ukupnih 1.352 ranjivosti nije objavljena raspodjela po ozbiljnosti niti pojedinačan ishod svakog nalaza. Izraz „pronađene i obrađene” stoga opisuje rezultat pilota, ali sam ne govori koliko je slabosti zakrpano, koliko ih je riješeno drugim mjerama ili koliko je vremena AI uštedio sigurnosnim timovima.

Provedeno nasuprot najavljenom

Mjere objavljene istoga dana imaju različit status. Ta je razlika ključna za razumijevanje što Britanija već može pokazati, a što tek želi uspostaviti:

• Provedeno: dva pilota upotrijebila su AI za pronalaženje i obradu ranjivosti u državnom kodu te za pomoć pri otkrivanju prijetnji.
• Najavljeno proširenje: vlada širi program primjene naprednog AI-ja u obrani državnih sustava i nastavlja rad na slabostima u sustavima koje smatra najrizičnijima.
• U razradi: nadležna tijela razvijaju plan odgovora ako AI agenti prouzroče ozbiljnu štetu.
• U razmatranju: vlada ispituje mogu li se zakonska pravila o kibernetičkoj sigurnosti i otpornosti ojačati za rizike povezane s AI-jem.

Proširenje programa nadovezuje se na iskustvo s pregledom koda. Plan za agente bavi se drugim problemom: sustavom koji može izvršavati složene zadatke uz malo ljudskog nadzora i pritom djelovati izvan zadanih uputa. Uspjeh u pronalaženju ranjivosti zato ne znači da je već uspostavljena posebna sposobnost države za odgovor na štetu koju bi takav agent prouzročio.

Kako se priprema odgovor na incidente s agentima

Na planu rade britanska vlada, National Cyber Security Centre, AI Security Institute i nadležno ministarstvo za digitalna pitanja. Cilj je da država u ozbiljnom incidentu može brzo utvrditi što je pošlo po zlu, ograničiti rizik i pomoći pogođenima. Riječ je o zadacima za budući odgovor, a ne o opisu već objavljenog operativnog postupka.

Razlog za poseban pristup jest mogućnost da se incident s autonomnim agentom razvije brže i zahvati više područja nego incidenti za koje su postojeći postupci osmišljeni. Agent može obavljati povezane radnje uz manje neposrednog ljudskog nadzora, pa bi utvrđivanje njegova ponašanja i ograničavanje posljedica moglo zahtijevati nova stručna znanja. Vlada još nije odredila javni rok za uspostavu te sposobnosti niti opisala tko bi vodio pojedinu intervenciju.

Ovdje je važno razlikovati dvije uloge AI-ja u istoj najavi. U pilotima je tehnologija bila alat državnih sigurnosnih timova: stručnjaci su pregledavali nalaze i odlučivali o daljnjem postupanju. U planu za incidente predmet odgovora bio bi agent čije je djelovanje prouzročilo ozbiljnu štetu. Ta razlika objašnjava zašto rezultat skeniranja koda ne može poslužiti kao mjera spremnosti za buduće incidente s agentima.

Moguće promjene pravila za ključne usluge

Britanija razmatra i može li se režim iz prijedloga zakona Cyber Security and Resilience Bill ojačati za kibernetičke rizike povezane s AI-jem i gubitkom ljudskog nadzora nad autonomnim sustavima. Među uslugama koje prijedlog nastoji zaštititi nalaze se zdravstvo, energetika i opskrba pitkom vodom. Dodatne obveze posebno usmjerene na AI zasad su mogućnost o kojoj se raspravlja, a ne usvojeno pravilo za bolnice ili komunalne operatere.

Jedno od pitanja jest kako prepoznati i prijaviti izbjegnute incidente: događaje u kojima je ozbiljna šteta bila moguća, ali je spriječena. Razmatra se i kako pratiti rizik koji prelazi granice pojedine organizacije te kako podijeliti pouke iz stvarnih incidenata. Takve bi informacije mogle pomoći da se slična opasnost uoči i drugdje, no sadržaj mogućih novih pravila tek se oblikuje.

Prijedlozi će se razmatrati s parlamentarcima, tehničkim stručnjacima i operaterima ključnih usluga tijekom zakonodavnog postupka. Tek će tekst mogućih izmjena pokazati koje bi incidente trebalo prijaviti i komu, dok će zaseban operativni plan morati razjasniti kako država reagira kada AI agent prouzroči ozbiljnu štetu.

Pročitajte i:

• Cloudflareov Web Search API daje agentima tri tražilice, ali ne provjerava odgovor
• Dvije NetScaler zero-day ranjivosti već se iskorištavaju — zakrpa je hitna
• Microsoft Clarity ili Hotjar: besplatne snimke ne daju odgovor „zašto”