تصور کنید یک تیم امنیتی بتواند هزاران خط کد پیچیده را در چند هفته بررسی کند و حفره‌هایی را بیابد که از چشم تیزبین‌ترین برنامه‌نویسان پنهان مانده است. دولت بریتانیا همین حالا این تصور را به واقعیت تبدیل کرده و با کمک هوش مصنوعی زاینده (Generative AI) — شبیه به دستیاری که میلیارد‌ها خط کد را خوانده و حالا می‌تواند نقاط ضعف را در یک چشم‌بهم‌زدن پیدا کند — زیرساخت‌های دیجیتال خود را بازسازی می‌کند.
بیش از ۱,۰۰۰ آسیب‌پذیری بالقوه در سراسر زیرساخت‌های دیجیتال بریتانیا توسط دولت این کشور با استفاده از هوش مصنوعی پیشرو (Frontier AI) شناسایی و برطرف شده است. این دستاورد، زیربنای بسته ریسک جدیدی است که در ۱۲ اکتبر ۲۰۲۶ اعلام شد و هدف آن تبدیل بریتانیا به یکی از سخت‌ترین کشورها برای حمله با استفاده از هوش مصنوعی است.
کانیشکا نارایان (Kanishka Narayan)، وزیر هوش مصنوعی، این اقدامات را در «بیس وان» (Base One)، مرکز رشد علم و فناوری امپریال کالج لندن، تشریح کرد. او بر لزوم اتخاذ یک «رویکرد جامع اجتماعی برای تاب‌آوری» تأکید کرد و متعهد شد که در هر کجا که لازم باشد قانون‌گذاری کند و برای مقابله با تهدیدات نوظهور، بر تخصص و مؤسسات علمی بریتانیا تکیه نماید.
این چرخش راهبردی در حالی رخ می‌دهد که عامل‌های هوش مصنوعی (AI Agents) — مثل کارمندانی دیجیتال که می‌توانند بدون نظارت مستقیم انسان، کارهای پیچیده را از ابتدا تا انتها انجام دهند — در حال تبدیل شدن به ابزارهای قدرتمندی برای نفوذ هستند. دولت اکنون در حال تغییر استراتژی از دفاع غیرفعال به یک استراتژی تاب‌آوری فعال و هدایت‌شده توسط هوش مصنوعی است. این گذار توسط دفتر کابینه (Cabinet Office)، مؤسسه امنیت هوش مصنوعی (AISI)، مرکز ملی امنیت سایبری (NCSC) و وزارت فرهنگ، رسانه و ورزش رهبری می‌شود.
سازوکار دفاعی مبتنی بر هوش مصنوعی
بر اساس یک مطالعه موردی که توسط وزارت علوم، نوآوری و فناوری (DSIT) و NCSC در ۱۲ ژوئن ۲۰۲۶ منتشر شد، دولت از مشارکت گروهی به نام «مرکز هماهنگی سایبری دولت» (GC3) استفاده کرد. این گروه هر هفته «هکاتون‌های» حضوری برگزار می‌کرد تا با استفاده از مدل‌های پیشرو، مخازن کد عمومی در سراسر سازمان‌های دولتی را اسکن کند.
مرکز GC3 یک رویکرد واحد را تحمیل نکرد؛ در عوض، تیم‌ها به مدل‌ها دسترسی داشتند و ابزارهای خاص خود را ساختند. تیم‌ها از چندین خط لوله (Pipeline) متمایز هوش مصنوعی برای یافتن باگ‌ها استفاده کردند:
- زنجیره‌های عامل‌محور (Agentic Chains): یک تیم از زنجیره‌ای شش‌مرحله‌ای شامل مراحل غربالگری (Triage)، اعتبارسنجی (Validator)، حسابرسی (Auditor)، ردیابی (Tracer)، داوری (Judge) و خلاصه‌سازی (Summary) استفاده کرد. در این مدل، هر مرحله خروجی مرحله قبل را می‌خواند و به چالش می‌کشید. در نهایت، در موارد ارجاع دستی، یک عضو تیم هر خط کد را بررسی و میزان مواجهه با ریسک را مجدداً تأیید می‌کرد.
- اسکن ترکیبی: تیمی دیگر سه مرحله مدل هوش مصنوعی — شامل کشف، بررسی زنجیره حمله و غربالگری — را بر روی ابزارهای اسکن سنتی مانند Gitleaks، Trivy، Semgrep و Hadolint قرار داد.
- مهارت‌های تخصصی: بخشی دیگر از دولت، یک حسابرسی گسترده در سطح سازمان را که شامل صدها سرویس بود، به پنج «مهارت» (Skill) تخصصی در مدل Claude تبدیل کرد تا تحلیل‌ها دقیق‌تر و متمرکزتر شوند.
این تلاش‌ها در مجموع منجر به شناسایی ۴۰۷ مورد یافته شد که شامل نقاط ضعف بحرانی بود که اجازه اجرای کد از راه دور (Remote Code Execution)، افشای داده‌ها و دور زدن سیستم‌های احراز هویت را می‌داد. طبق گزارش دولت، تمام این نقاط ضعف بحرانی ترمیم شده‌اند و هیچ اثری از سوءاستفاده از آن‌ها یافت نشد. جالب است که کل این عملیات در ۹ سازمان دولتی، طی یک ماه تنها ۱۳ هزار پوند هزینه توکن (Token) — تکه‌های کوچکی از متن که مدل‌ها با آن‌ها فکر می‌کنند — در بر داشت.
مطالعه موردی فنی: GitHub Actions
یکی از یافته‌های بحرانی خاص مربوط به GitHub Actions قدیمی در یک مخزن کد بود که از یک سرویس دیجیتال کلیدی دولتی پشتیبانی می‌کرد. هوش مصنوعی کشف کرد که یک کامنت به‌طور خاص طراحی‌شده در یک درخواست تغییر کد (Pull Request) باز، می‌تواند به یک کاربر خارجی اجازه دهد تا زنجیره‌ای از گردش‌های کاری (Workflows) را فعال کند. این اتفاق منجر به اجرای کد دلخواه از راه دور روی Runner مربوط به GitHub Actions می‌شد و مسیری بالقوه برای استخراج اسرار (Secrets) و توکن‌های موجود در آن گردش کار ایجاد می‌کرد.
نویسندگان این گزارش اشاره کردند که مدل‌های هوش مصنوعی می‌توانند آسیب‌پذیری‌ها را فراتر از مرزهای یک سرویس ردیابی کنند و منطق کسب‌وکار را به جزئیات فنی گره بزنند؛ قابلیتی که اسکنرهای سنتی فاقد آن هستند. به همین دلیل، GC3 فاز دوم این طرح آزمایشی را آغاز خواهد کرد که شامل وزارتخانه‌های بیشتر، مدل‌های اضافی و گسترش دامنه بررسی از کدهای عمومی به دارایی‌های کد بسته (Closed-source) است.
مقابله با ریسک‌های خودمختار
کانیشکا نارایان هشدار داد که با افزایش خودمختاری سیستم‌ها، پیامدهای شکست یا استفاده مخرب آن‌ها شدیدتر می‌شود. او اظهار داشت شرکت‌هایی که قدرتمندترین سیستم‌های هوش مصنوعی جهان را می‌سازند باید به هشدارهای دانشمندان توجه کنند، رفتارهای غیرمنتظره را بررسی نمایند و هر سیستمی را که ریسک‌های آن به‌طور کافی قابل کنترل نیست، منتشر نکنند. این دیدگاه با توصیه‌های پنل علمی سازمان ملل همسو است که تأکید می‌کند تدوین حفاظ‌های امنیتی برای عامل‌های هوش مصنوعی نباید تا دستیابی به قطعیت کامل علمی به تأخیر بیفتد.
دولت بریتانیا اکنون در حال بررسی تغییراتی در «لایحه امنیت و تاب‌آوری سایبری» است تا از خدمات حیاتی مانند بیمارستان‌ها و تأسیسات زیربنایی در برابر ریسک «از دست دادن کنترل» محافظت کند؛ وضعیتی که در آن سیستم‌های خودمختار نظارت انسانی را دور می‌زنند. این رویکرد نظارتی در سایر بخش‌های حساس نیز در حال تغییر است، به‌طوری‌که بریتانیا مدل نظارت بر تجهیزات پزشکی مبتنی بر AI را از تأیید تک‌مرحله‌ای به یک مدل چرخهٔ عمر جامع تغییر داده است.
همزمان، کارهای مشترکی بین NCSC و AISI برای تدوین پروتکل‌های پاسخ به حوادث مربوط به عامل‌های هوش مصنوعی در حال انجام است. دولت خاطرنشان می‌کند که حوادثی که توسط عامل‌ها هدایت می‌شوند، می‌توانند سریع‌تر از حوادث سنتی رخ دهند و گسترده‌تر از هر حادثه بزرگی که دولت‌ها برای مدیریت آن طراحی شده‌اند، پخش شوند. این نگرانی‌ها با هشدارهای رئیس کمیسیون اروپا مطابقت دارد که فرار عامل‌های هوش مصنوعی از محیط‌های کنترل‌شده را پیش‌درآمدی بر ریسک‌های سیستمی بزرگ‌تر می‌داند. این امر مستلزم تخصص‌ها و قابلیت‌های کاملاً جدیدی برای مهار آن‌ها است.
تأییدیه و مسئولیت شرکتی
این بسته راهبردی همچنین تمرکزی بر «تأییدیه هوش مصنوعی» (AI Verification) معرفی می‌کند. این حوزه نوظهور بررسی می‌کند که آیا ادعاهای مربوط به نحوه توسعه، تست و ارزیابی یک هوش مصنوعی واقعاً در برابر بررسی‌های دقیق تاب می‌آورند یا خیر. بریتانیا قصد دارد در این فضای تأییدیه، پیشرو جهانی شود و جزئیات بیشتر درباره تلاش‌های حمایتی در ماه‌های آینده منتشر خواهد شد.
لیز لوید (Liz Lloyd)، وزیر سایبری، تأکید کرد که حوادث سایبری همچنان سازمان‌ها را در هر اندازه مختل می‌کنند و این موضوع یک «نیاز حیاتی برای کسب‌وکار» ایجاد کرده است تا سازمان‌ها در موضع پیش‌دستی باقی بمانند. همچنین در یک نامه باز مورخ ۱۵ آوریل ۲۰۲۶، لیز کندال (Liz Kendall)، وزیر علوم، نوآوری و فناوری و دن جارویس (Dan Jarvis)، وزیر امنیت، از مدیران کسب‌وکار خواستند تا امنیت را در بالاترین سطوح سازمان خود جدی بگیرند. آن‌ها پذیرش طرح Cyber Essentials و استفاده از سرویس رایگان هشدار زودهنگام NCSC را برای آگاه کردن سازمان‌ها از حملات پیش از تشدید آن‌ها توصیه کردند.
چشم‌انداز راهبردی
این ابتکار بخشی از یک استراتژی گسترده‌تر است که توسط تسک‌فورس هوش مصنوعی نخست‌وزیر رهبری می‌شود. نارایان تأیید کرد که دانشمندان AISI در حال حاضر ارزیابی‌های سخت‌گیرانه‌ای روی آخرین نسل مدل‌های پیشرفته هوش مصنوعی، در پی همکاری با توسعه‌دهندگان پیشرو و دولت ایالات متحده، انجام می‌دهند.
در ادامه تعهدی که در مجمع عمومی سازمان ملل در ماه سپتامبر داده شد، بریتانیا هوش مصنوعی را در مرکز توجه ریاست خود بر G20 قرار خواهد داد. این تسک‌فورس اکنون بر حوزه‌هایی تمرکز خواهد کرد که بیشترین تأثیر را از هوش مصنوعی می‌پذیرند، از جمله امنیت ملی، رشد اقتصادی و آینده نیروی کار در بخش عمومی.
برای یک صاحب کسب‌وکار، این سیگنال واضح است: دولت‌ها دیگر به هوش مصنوعی فقط به عنوان ابزاری برای بهره‌وری نگاه نمی‌کنند، بلکه آن را سلاح اصلی برای هر دو جنبه حمله و دفاع می‌بینند. حرکت به سمت قانون‌گذاری برای ایمنی هوش مصنوعی نشان می‌دهد که به زودی «تلاش حداکثری» برای امنیت جای خود را به «پذیرش اجباری» استانداردهای ایمنی برای خدمات حیاتی خواهد داد.
منتظر جزئیات آتی درباره حمایت‌های تأییدیه هوش مصنوعی بریتانیا باشید که دولت انتظار دارد در ماه‌های آینده منتشر کند.
گام بعدی شما
- اگر از مخازن کد عمومی استفاده می‌کنید، از ابزارهای اسکن ترکیبی (AI + Static Analysis) برای یافتن باگ‌های منطقی استفاده کنید.
- مدیران فناوری باید پروتکل‌های «قطع ارتباط سریع» (Kill-switch) را برای عامل‌های خودمختاری که در سازمانشان مستقر کرده‌اند، تعریف کنند.
- برای کسب‌وکارهای کوچک، ثبت‌نام در سرویس‌های هشدار زودهنگام دولتی یا معتبر، اولین خط دفاعی در برابر حملات سریع AI است.
اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.
گفتگو