El Centro Nacional de Ciberseguridad (NCSC) del Reino Unido advirtió que el país debe prepararse para un ciberataque con IA contra su infraestructura crítica antes de 2028, según su informe anual difundido el 3 de noviembre. El organismo, parte de la agencia de espionaje GCHQ, identifica a China como el actor más capaz.
Las claves
- El NCSC considera “muy probable” que en los próximos dos años se use un programa malicioso con IA en un ataque de ransomware contra la infraestructura crítica británica.
- La infraestructura crítica incluye energía, transporte, defensa, alimentación, salud y finanzas; The Guardian precisó que el organismo menciona centrales eléctricas, aeropuertos y hospitales como posibles objetivos.
- El informe señala a China como el actor con mayor capacidad y a Rusia e Irán como amenazas activas.
- El Gobierno británico anunció 60 millones de libras para la primera fase de un escudo cibernético y 70 millones para un centro de detección de vulnerabilidades.
¿Qué tan cerca está un ciberataque con IA?
El documento sostiene que es “muy probable” que en los próximos dos años se utilice un programa malicioso con IA en un ataque de secuestro de datos, conocido como ransomware. Ese tipo de ataque cifra los archivos de la víctima y exige un pago. El NCSC estima que, en ese plazo, el uso de inteligencia artificial por parte de actores hostiles aumentará la escala y la eficiencia de sus operaciones, incluidos el engaño a personas y la explotación de fallas de seguridad.
The Guardian precisó que el organismo habla de centrales eléctricas, aeropuertos y hospitales como posibles objetivos. La infraestructura crítica británica abarca energía, transporte, defensa, alimentación, salud y finanzas. El informe identifica a China como el actor más capaz y, según Reuters, Richard Horne también señaló que Rusia intenta de forma sostenida penetrar redes militares británicas y que Irán realiza operaciones maliciosas en todo el mundo, incluidas algunas dirigidas al Reino Unido.
El director ejecutivo del NCSC, Richard Horne, dijo en el texto previsto de su discurso que China tiene “muy probablemente” la intención y es la mejor posicionada para usar IA contra la infraestructura crítica británica. Su actividad, añadió, representa el desafío cibernético más sofisticado y sostenido que enfrenta el país. La evaluación prevé que Rusia, China y otros Estados usarán IA “de forma rutinaria” en sus ciberoperaciones hacia 2028.
Horne sostuvo que la IA no inventó nuevas formas de atacar. “Vulnerabilidades que se han tolerado durante demasiado tiempo ahora pueden ser descubiertas y explotadas a una escala antes inimaginable”, afirmó. También habló de una “posibilidad real” de un aumento sin precedentes de incidentes en los próximos meses. El informe plantea tres escenarios hasta 2028, que describe como posibilidades plausibles y no como predicciones. Advierte además que “la posibilidad de sorpresa es alta”, porque la capacidad de la IA aplicada a ataques cambia con rapidez.
¿Qué puede pasar si no se actúa?
El jefe del NCSC atribuyó esa exposición a décadas de “tecnología barata” en organizaciones y cadenas de suministro. Pidió invertir en tecnología, desconectar de internet los sistemas que no lo necesitan y tomar el programa Cyber Essentials, de medidas básicas, como punto de partida y no como meta. Horne advirtió que, si los dirigentes no actúan, deberán explicar a inversores, empleados y clientes qué pasó “cuando no hay comida en los estantes, no hay luz” y hay empresas quebradas. Según el NCSC, el informe pide “cambios significativos” para evitar un futuro en que la IA se use contra la economía y la sociedad.
La respuesta del Gobierno británico
La advertencia llega con anuncios del Gobierno. El Gobierno británico destinará 130 millones de libras a la primera fase de un escudo cibernético y a un centro de detección de fallas, de acuerdo con la información difundida. La semana anterior, el ministro de Economía británico anunció 60 millones de libras para la primera fase de un escudo nacional contra ciberataques y 70 millones de libras para un centro que detecte vulnerabilidades en la infraestructura.
También creará en Manchester un centro de excelencia en seguridad de IA, a cargo del NCSC. El ministro de Seguridad, Dan Jarvis, afirmó que el Gobierno usa la IA para mantenerse por delante de quienes buscan hacer daño. El Ejecutivo impulsa además el proyecto de ley de Seguridad y Resiliencia Cibernética y un Plan Nacional de Acción Cibernética, que aún no se publicó, según el comunicado del NCSC.
Lo que se sabe y lo que falta por confirmar
El NCSC fija un horizonte: antes de 2028, con un aumento esperado del uso de IA por actores hostiles. No precisa una fecha exacta ni un objetivo concreto para un ataque, y presenta sus tres escenarios como posibilidades plausibles, no como predicciones. Queda pendiente la publicación del Plan Nacional de Acción Cibernética, que el propio comunicado del NCSC menciona como aún no publicado. La fuente tampoco detalla cómo se implementarán el escudo cibernético, el centro de detección de fallas y el centro de excelencia en seguridad de IA en Manchester.
