Órgão de cibersegurança do Reino Unido prevê malware com IA contra infraestrutura crítica até 2028

O National Cyber Security Centre (NCSC) diz ser altamente provável que malware com IA seja usado em um ataque de ransomware à infraestrutura crítica do país. Veja o que ele diz, o que não prevê e o que o governo está financiando.

CTRL + ALT News | Inteligência Artificial | Informações conferidas em 8 de novembro de 2026

Em 3 de novembro de 2026, o National Cyber Security Centre (NCSC), órgão de cibersegurança do Reino Unido, publicou sua Revisão Anual do período de 1º de setembro de 2025 a 31 de agosto de 2026. O capítulo sobre inteligência artificial chega a uma conclusão dura: “é altamente provável que malware com IA seja usado em um ataque de ransomware à infraestrutura crítica nacional do Reino Unido” (tradução nossa; no original, “UK CNI”). Na notícia que acompanha o relatório, o NCSC põe uma data: até 2028, ou dentro de dois anos.

É um julgamento da agência britânica, não uma medição nem um fato ocorrido. Ler as páginas com atenção mostra o tamanho do alerta e onde ele termina. O relatório trata do Reino Unido e não traz dados sobre o Brasil.

O que o NCSC realmente diz

O NCSC usa termos verbais de probabilidade, como “highly likely” (altamente provável) e “almost certain” (quase certo). Nas páginas que lemos não há percentuais, então o peso de “altamente provável” depende da escala do próprio órgão.

Os principais pontos sobre IA:

• A IA é um “multiplicador de força”. O capítulo diz que a IA está “agindo como multiplicador de força” no cenário de ameaças cibernéticas, melhorando várias etapas de um ataque, entre elas reconhecimento, engenharia social e descoberta de vulnerabilidades. Fala em aceleração e ampliação de táticas que os atacantes já usam.
• Não prevê robôs hackers agindo sozinhos. O NCSC espera que a IA seja integrada aos ataques, e não que conduza ataques de ponta a ponta de forma autônoma, e diz que operadores humanos continuarão, com alta probabilidade, essenciais para dirigir e conferir o trabalho. Aponta ainda o risco de perder o controle ao rodar uma IA agêntica, o que, segundo o texto, deve atrapalhar os atacantes.
• A China é citada. O capítulo diz que a China tem, com alta probabilidade, a intenção e a melhor posição para usar IA em operações contra a infraestrutura crítica nacional e outros alvos estratégicos.
• “Shadow AI” é um risco. Quando funcionários passam dados sensíveis da empresa para dispositivos pessoais ou ferramentas de IA não autorizadas, as organizações perdem a visibilidade de como a informação é tratada.

A defesa também ganha, mas de forma desigual

A revisão não vê a IA só como ameaça. Diz que as organizações que a adotarem tendem a melhorar a detecção de ameaças, a priorização de vulnerabilidades e a automação da defesa. Mas alerta para uma divisão digital crescente: os benefícios não serão distribuídos por igual. Diz também que defensores e mantenedores de sistemas enfrentarão uma corrida para encurtar o tempo de aplicação de correções.

Essa corrida já aparece nas notícias. Nossa cobertura das falhas do PHP2Shell mostra o que acontece quando vulnerabilidades graves são atacadas antes de todos os sites serem corrigidos.

O que o governo vai financiar

A notícia do NCSC diz que o governo britânico destina £ 60 milhões (libras) à primeira fase de um Cyber Shield nacional e £ 70 milhões a um centro chamado NERV (National Exposure and Real-Time Vulnerability). Anuncia também um Centro de Excelência em Cibersegurança de IA, operado pelo NCSC, em Manchester.

O The Register, que cobriu a revisão no mesmo dia, relata mais itens:

• £ 40 milhões para uma National Agentic Security Unit e £ 24 milhões para as defesas do setor público.
• Desconto de 75% na certificação Cyber Essentials para micro, pequenas e médias empresas que pedem o primeiro certificado.
• Um piloto chamado Project DROMOS, que analisou repositórios de código do governo por quatro semanas e achou “centenas de possíveis problemas de segurança”. O Register diz que o valor do centro de Manchester não foi divulgado.

Atribuímos esses pontos ao The Register porque não conseguimos conferi-los na revisão completa, grande demais para as nossas ferramentas abrirem.

O presidente-executivo do órgão, Richard Horne, argumenta que o país investiu pouco. “For decades, we have collectively got away with doing tech on the cheap” (“por décadas, escapamos coletivamente fazendo tecnologia na base do barato”), diz ele na notícia do NCSC, e pede aos líderes que invistam “com urgência”.

O que isso significa para organizações

Esta é a nossa leitura, não uma lista de recomendações do NCSC. Os temas da própria revisão sugerem três perguntas práticas para qualquer organização:

1. Você sabe quais ferramentas de IA a sua equipe usa? O alerta sobre shadow AI é sobre visibilidade.
2. Com que rapidez você aplica correções? O NCSC espera que o tempo disponível aos atacantes encolha.
3. O básico está em dia? A notícia do NCSC chama o Cyber Essentials de ponto de partida da cibersegurança, não de meta final.

Incidentes recentes mostram os mesmos pontos de pressão. Veja o que a Índia diz sobre agentes de IA que chegaram a sistemas de organizações sem autorização e o que houve em a invasão ao OpenCode e como proteger suas chaves de IA.

Perguntas frequentes

Um ataque de ransomware com IA contra a infraestrutura do Reino Unido já aconteceu? As páginas que lemos não dizem isso. O NCSC prevê que um ataque desse tipo é altamente provável, mas não relata um caso.

O “até 2028” está na própria Revisão Anual? Aparece na notícia do NCSC sobre a revisão e no The Register. Não aparece na página do capítulo de IA que lemos.

A IA vai invadir sistemas totalmente sozinha? O NCSC não espera isso. Diz que operadores humanos continuarão, com alta probabilidade, essenciais.

O que não conseguimos confirmar

• O PDF completo da Revisão Anual, que não conseguimos abrir.
• As verbas da National Agentic Security Unit, das defesas do setor público e do desconto do Cyber Essentials, e os detalhes do Project DROMOS, que vêm só do The Register.
• O que “altamente provável” significa em números, se o NCSC o define em outro trecho.
• Qualquer caso real de malware com IA usado em ataque de ransomware à infraestrutura britânica.

Fontes: notícia e capítulo da Revisão Anual do NCSC, 3 de novembro de 2026; The Register, 3 de novembro de 2026.

Leia as páginas do NCSC: notícia e capítulo sobre IA. Cobertura: The Register.