L’avvertimento della Gran Bretagna arriva con una tempistica serrata. Entro il 2028 il Paese dovrà probabilmente affrontare attacchi informatici abilitati dall’IA contro le infrastrutture critiche, mentre criminali e attori statali incorporano sempre più la tecnologia nelle loro operazioni. Cina e Russia figuravano tra gli Stati identificati come parte del panorama delle minacce.¹

La valutazione del National Cyber Security Centre è più specifica: prevede che malware basato sull’IA venga utilizzato in un attacco ransomware contro infrastrutture critiche del Regno Unito entro i prossimi due anni. Il suo rapporto annuale afferma che l’IA agirà quasi certamente da moltiplicatore di forza per gli aggressori capaci, mentre l’88% degli incidenti che colpiscono le grandi organizzazioni può essere ricondotto a quattro consueti punti di ingresso: applicazioni esposte al pubblico, phishing, account validi e servizi remoti.²

Ciò crea un contrasto scomodo. Le vie d’attacco non sono esotiche, ma l’IA potrebbe rendere lo sfruttamento più rapido, più esteso e più convincente. Richard Horne, amministratore delegato dell’NCSC, ha affermato che la rivoluzione dell’IA deve «costringere le organizzazioni del Regno Unito a fare i conti con lo stato attuale della loro cybersicurezza».²

La risposta ufficiale si sta orientando verso infrastrutture difensive più solide, tra cui un National Cyber Shield e un centro per le vulnerabilità. Ma Heigor Freitas dell’organismo di settore CREST sostiene che la resilienza non può essere delegata alla legislazione. «I leader del settore non aspettano che sia la regolamentazione a promuovere i miglioramenti», ha affermato, esortando le organizzazioni a confrontarsi con standard riconosciuti, a ottenere una garanzia indipendente e a integrare competenze professionali.²

Il suo punto è netto: la conformità è una soglia minima, non uno scudo. Le aziende che implementano l’IA, afferma, devono valutare rischi e controlli oltre le norme attuali — e assicurarsi che i loro test siano sostenuti da standard specializzati e verificati in modo indipendente.²