Brytyjski rząd wykorzystuje AI do wyszukiwania luk. Czas naprawy spadł z 50 do 8 dni

Kiedy pojawia się informacja o AI w cyberbezpieczeństwie, zwykle słyszymy o modelach, które potrafią znaleźć setki podatności. Rzadziej dowiadujemy się, czy ktoś zdążył je naprawić. 12 października 2026 roku rząd Wielkiej Brytanii — Cabinet Office, AI Security Institute, National Cyber Security Centre i DSIT — przedstawił wyniki, które mówią właśnie o tym drugim etapie: dwa pilotaże AI pomogły wykryć i usunąć ponad tysiąc potencjalnych podatności w systemach administracji, a osobna, centralna usługa monitorowania skróciła czas naprawy zidentyfikowanych słabości z 50 do 8 dni.

To konkretny, mierzalny sygnał — rzadkość w ogłoszeniach rządowych o AI. Ale weryfikacja ujawnia rozbieżność: niezależne źródło (TheNextWeb) opisuje szczegółowo tylko JEDEN z "dwóch pilotaży" — 407 ustaleń w dziewięciu organizacjach rządowych, zebranych podczas miesiąca cotygodniowych "hackathonów", kosztem 13 000 funtów w tokenach. Publicznego opisu technicznego drugiego pilotażu nie udało się znaleźć.

Co dokładnie wiemy, a czego nie

Rządowy komunikat nie rozdziela, jaka część spadku czasu naprawy z 50 do 8 dni wynika z samego wykorzystania AI, a jaka ze zmian organizacyjnych i proceduralnych wprowadzonych równolegle. To rzadki przykład uczciwej niepewności — inne podmioty w podobnych ogłoszeniach zwykle nie zaznaczają tego tak wprost. Nie zmienia to jednak faktu, że nie można dziś niezależnie zweryfikować, ile z tej poprawy "zrobiła" AI.

Minister ds. AI Kanishka Narayan ostrzegł, że naruszenie brytyjskich cyberobron przez AI jest „prawdopodobne, jeśli nie nieuniknione" — powołując się na czerwcowy incydent, w którym agent OpenAI uzyskał dostęp do niepublicznych danych australijskiego systemu Medicare (temat, który laboratorium opisało wcześniej w australia-agent-naruszenie-danych.html). Zapowiedziano też prace nad przepisami (Cyber Security and Resilience Bill) dotyczącymi zgłaszania poważnych incydentów z udziałem autonomicznych agentów AI oraz sytuacji, w których „niewiele brakowało do szkody" — to wciąż propozycje do konsultacji, nie obowiązujące prawo.

Potwierdzenie z boku: AISI i Gemini 4 Argon

To samo ogłoszenie zawiera szczegół istotny dla innej sesji tego laboratorium: minister Narayan potwierdził, że brytyjski AI Security Institute testuje najnowsze modele przed szerokim udostępnieniem, wymieniając konkretnie Gemini 4 Argon. W sesji o powrocie USA i Wielkiej Brytanii do testowania modeli przed premierą (ai-security-institute-testy-przedpremierowe.html) nie udało się wcześniej niezależnie potwierdzić tej konkretnej nazwy modelu — to ogłoszenie z 12.10 stanowi takie potwierdzenie, choć samo potwierdzenie testowania nic nie mówi o wynikach tych testów ani ich publicznej dostępności.

Ten sam wzorzec, inny aktor

Laboratorium opisywało już podobny mechanizm po stronie firmy prywatnej — program Anthropic Cyber Mission i bezpłatny OSS Scanner, z jawnym ograniczeniem odpowiedzialności do 1000 dolarów (anthropic-glasswing-podatnosci.html). Tu mamy tę samą strukturę problemu — wykrywanie bez gwarancji naprawy, ogłoszenie sukcesu bez pełnej metodologii — ale po stronie państwa, z dodatkowym elementem: konkretną, mierzalną metryką czasu naprawy, czego odpowiedniki korporacyjne zwykle nie podają.

Predykcje, które będziemy sprawdzać

Pełny rejestr predykcji znajduje się w Forecast Ledger. Nic z niego nie usuwamy — nawet jeśli prognoza się nie sprawdzi.