Non è una previsione sul futuro remoto: è una finestra di due anni. Il National Cyber Security Centre britannico ha dichiarato che è «highly likely» che malware potenziato dall’intelligenza artificiale venga impiegato in attacchi ransomware contro centrali elettriche, aeroporti e ospedali del Regno Unito entro il 2028. La formulazione è prudente; la sostanza non lo è. Il Regno Unito si sta preparando a uno scenario in cui la velocità di scoperta e sfruttamento delle vulnerabilità non sarà più limitata dalla capacità umana degli attaccanti.
La diagnosi: nessuna nuova arma, solo una scala inedita
Il punto centrale del ragionamento del CEO dell’NCSC, Richard Horne, è proprio il rifiuto della narrazione più comoda — quella che attribuisce all’IA il ruolo di inventare minacce inedite. Il rischio che incombe, ha argomentato durante la presentazione dell’annual review State of the Cyber Nation a Londra, non nasce dal fatto che «AI has invented new ways to attack us», ma dal fatto che «vulnerabilities that have been tolerated for far too long can now be discovered and exploited at a scale that was once unimaginable».
Horne ha indicato il bersaglio con precisione: «far too many organizations» fanno affidamento su «tech on the cheap». Sistemi a fine vita tenuti in funzione «for just one more year», aggiornamenti necessari rinviati come forma di «cost efficiency», fornitori tecnologici che non investono in sicurezza by design e by default. Il quadro che ne trae è un ciclo di sottoinvestimento sistemico: tecnologia installata e mai sostenuta nel suo ciclo di vita, accessi concessi «where it was convenient rather than where it was necessary», servizi acquistati sul solo prezzo senza verificare se l’infrastruttura sottostante fosse resiliente, e monitoraggio mai predisposto per accorgersi di ciò che va storto.
Il risultato, in parole sue, è che il Paese affronta «a real prospect of an unprecedented rise in the number of cyber incidents».
Il contesto: lo Stato che prova a comprare il tempo che non ha
Sul piano politico, il discorso di Horne arriva dentro un pacchetto di investimenti annunciato il 24 ottobre che il governo presenta come la prima fase di uno Cyber Shield nazionale. Le cifre, come comunicate: 60 milioni di sterline (circa 80,4 milioni di dollari) per la fase iniziale dello scudo, di cui 25 milioni per un Challenge Fund dedicato agli innovatori britannici in IA e cybersecurity; 70 milioni per un nuovo National Exposure and Real-Time Vulnerability (NERV) Centre; 120 milioni aggiuntivi per l’AI Security Institute e l’apertura a Manchester di un AI Cyber Security Centre of Excellence guidato dall’NCSC; 40 milioni per una National Agentic Security Unit incaricata di monitorare e rispondere a bot IA fuori controllo; 24 milioni per rafforzare le difese cyber del settore pubblico con tecnologia IA avanzata.
A completare il quadro, sul versante delle PMI, l’annuncio della Cyber Security Minister, baronessa Lloyd: uno sconto del 75% sulla certificazione Cyber Essentials per micro, piccole e medie imprese, che ne porta il costo tra 80 e 125 sterline più IVA. Il governo ha inoltre nominato 14 nuovi Software Security Ambassadors — tra cui Fortinet, Thales, Capgemini e Zscaler — con il mandato di promuovere lo sviluppo sicuro del software e l’adozione del Software Security Code of Practice.
Sullo sfondo normativo restano il Cyber Security and Resilience Bill e il futuro National Cyber Action Plan, i due veicoli con cui Londra intende tradurre gli annunci in obblighi.
Il banco di prova: la misurazione si chiama PHP2Shell
Horne ha indicato un caso concreto per misurare lo stato reale delle difese britanniche: le vulnerabilità PHP2Shell. In risposta a quelle falle, l’agenzia ha emesso 110.000 notifiche proattive e Early Warning alert verso organizzazioni del Regno Unito. È il numero più eloquente del rapporto, perché fotografa la distanza tra la conoscenza di una vulnerabilità e la sua effettiva chiusura: una cifra a cinque zeri di avvisi suggerisce un tessuto industriale in cui la remediation richiede, essa sì, una scala che gli strumenti esistenti non coprono.
Da qui la definizione coniata da Horne per il momento presente: un «moment of choice». Le organizzazioni britanniche devono, ha detto, «reckon with the current state of their cybersecurity». L’NCSC descrive la posizione del Paese come di «enormous consequence» e insiste su un punto poco glamour ma decisivo: gli strumenti, gli standard e i framework in grado di proteggere da attacchi convenzionali e potenziati dall’IA esistono già e sono documentati.
Il passaggio politicamente più duro del discorso riguarda la responsabilità dei vertici aziendali. Se le scelte non verranno fatte, i leader dovranno «look their investors, shareholders, employees, customers, suppliers, in the eye and explain, when food isn’t on shelves, lights aren’t on, businesses have gone under».
Prospettive
Il rapporto NCSC contiene un secondo asse che merita attenzione geostrategica, meno citato della minaccia ransomware ma forse più strutturale: gli Stati-nazione, Russia e Cina in primis, useranno l’IA in modo routinario nelle proprie attività cyber per perseguire obiettivi geopolitici. Non si tratta più, quindi, di separare la criminalità finanziariamente motivata dall’attività statale: entrambe attingono allo stesso strato di capacità automatizzata, e la riduzione del costo marginale dell’attacco vale per tutte e due.
La lettura critica arriva da fuori dal perimetro istituzionale. Anthony Young, CEO del fornitore britannico di sicurezza per infrastrutture critiche Bridewell, ha giudicato l’avvertimento a due anni dell’NCSC «generous»: «AI is already helping attackers, and vulnerability discovery is accelerating faster than many organizations can test and deploy patches». Young ha ricordato gli attacchi recenti ai sistemi di refrigerazione della grande distribuzione, leggendoli come «an extension of the problems we have seen for years with internet-connected CCTV and heating or ventilation systems». E ha chiuso su un punto che sposta il baricentro dalla tecnologia alla governance: «We’ve spent 25 years telling organisations to get the basics right. AI is making it harder for them to get away with ignoring that advice».
Il valore della notizia sta nel fatto che un’agenzia di sicurezza nazionale britannica abbia scelto di collocare le 110.000 notifiche PHP2Shell e la minaccia IA nella stessa frase. Il Regno Unito non sta annunciando che l’IA cambierà la natura della minaccia. Sta ammettendo che la minaccia esistente era già più grande della sua capacità di risposta, e che l’automazione renderà quella sproporzione visibile a tutti.
(English version)
It isn’t a forecast about the distant future: it’s a two-year window. The UK’s National Cyber Security Centre has stated that it is “highly likely” that AI-powered malware will be used in ransomware attacks against power plants, airports and hospitals in the United Kingdom by 2028. The wording is cautious; the substance is not. The UK is preparing for a scenario in which the speed of discovering and exploiting vulnerabilities will no longer be limited by attackers’ human capacity.
The diagnosis: no new weapon, just an unprecedented scale
The central point of NCSC CEO Richard Horne’s argument is precisely his rejection of the most convenient narrative — the one that casts AI in the role of inventing entirely new threats. The looming risk, he argued during the presentation of the annual review State of the Cyber Nation in London, does not arise from the fact that “AI has invented new ways to attack us,” but from the fact that “vulnerabilities that have been tolerated for far too long can now be discovered and exploited at a scale that was once unimaginable.”
Horne named the target precisely: “far too many organizations” rely on “tech on the cheap.” End-of-life systems kept running “for just one more year,” necessary updates postponed as a form of “cost efficiency,” technology vendors that don’t invest in security by design and by default. The picture he draws from this is a cycle of systemic underinvestment: technology installed and never sustained across its life cycle, access granted “where it was convenient rather than where it was necessary,” services bought on price alone without checking whether the underlying infrastructure was resilient, and monitoring never put in place to notice when something goes wrong.
The result, in his words, is that the country faces “a real prospect of an unprecedented rise in the number of cyber incidents.”
The context: the state trying to buy the time it doesn’t have
Politically, Horne’s speech comes within an investment package announced on 24 October that the government presents as the first phase of a national Cyber Shield. The figures, as communicated: £60 million (around $80.4 million) for the shield’s initial phase, of which £25 million for a Challenge Fund dedicated to British AI and cybersecurity innovators; £70 million for a new National Exposure and Real-Time Vulnerability (NERV) Centre; £120 million in additional funding for the AI Security Institute and the opening in Manchester of an AI Cyber Security Centre of Excellence led by the NCSC; £40 million for a National Agentic Security Unit tasked with monitoring and responding to out-of-control AI bots; £24 million to strengthen the public sector’s cyber defences with advanced AI technology.
Rounding out the picture, on the SME side, is the announcement by Cyber Security Minister Baroness Lloyd: a 75% discount on Cyber Essentials certification for micro, small and medium-sized enterprises, bringing its cost to between £80 and £125 plus VAT. The government has also appointed 14 new Software Security Ambassadors — including Fortinet, Thales, Capgemini and Zscaler — with a mandate to promote secure software development and adoption of the Software Security Code of Practice.
In the regulatory background remain the Cyber Security and Resilience Bill and the future National Cyber Action Plan, the two vehicles through which London intends to turn announcements into obligations.
The test case: the measurement is called PHP2Shell
Horne pointed to a concrete case for measuring the real state of British defences: the PHP2Shell vulnerabilities. In response to those flaws, the agency issued 110,000 proactive notifications and Early Warning alerts to UK organisations. It is the report’s most telling number, because it captures the gap between knowing about a vulnerability and actually closing it: a six-figure number of alerts suggests an industrial fabric in which remediation requires, precisely, a scale that existing tools do not cover.
Hence the phrase Horne coined for the present moment: a “moment of choice.” British organisations must, he said, “reckon with the current state of their cybersecurity.” The NCSC describes the country’s position as one of “enormous consequence” and insists on a point that is unglamorous but decisive: the tools, standards and frameworks capable of protecting against both conventional and AI-powered attacks already exist and are documented.
The politically harshest passage of the speech concerns the responsibility of corporate leadership. If the choices aren’t made, leaders will have to “look their investors, shareholders, employees, customers, suppliers, in the eye and explain, when food isn’t on shelves, lights aren’t on, businesses have gone under.”
Outlook
The NCSC report contains a second axis that deserves geostrategic attention, less cited than the ransomware threat but perhaps more structural: nation-states, Russia and China first among them, will use AI routinely in their own cyber activities to pursue geopolitical objectives. It is no longer a matter, then, of separating financially motivated crime from state activity: both draw on the same layer of automated capability, and the fall in the marginal cost of attack applies to both.
The critical reading comes from outside the institutional perimeter. Anthony Young, CEO of British critical-infrastructure security provider Bridewell, judged the NCSC’s two-year warning “generous”: “AI is already helping attackers, and vulnerability discovery is accelerating faster than many organizations can test and deploy patches.” Young recalled recent attacks on large-scale retail refrigeration systems, reading them as “an extension of the problems we have seen for years with internet-connected CCTV and heating or ventilation systems.” And he closed on a point that shifts the centre of gravity from technology to governance: “We’ve spent 25 years telling organisations to get the basics right. AI is making it harder for them to get away with ignoring that advice.”
The value of the story lies in the fact that a British national security agency has chosen to place the 110,000 PHP2Shell notifications and the AI threat in the same sentence. The UK is not announcing that AI will change the nature of the threat. It is admitting that the existing threat was already bigger than its capacity to respond, and that automation will make that disproportion visible to everyone.
Primary source: Infosecurity Magazine NCSC Chief Warns of AI Ransomware Threat to UK Critical Infrastructure
The Global Eye/SIOI
Marco Emanuele
