Mientras muchos todavía debaten si se puede confiar algo serio a la inteligencia artificial, el gobierno británico le entregó directamente las llaves de su propio código — y quedó satisfecho con el resultado. En dos programas piloto, modelos de IA escanearon 548 repositorios de código de 18 departamentos gubernamentales y detectaron 1.352 vulnerabilidades, incluyendo elusión de autenticación, exposición de datos y fallos de ejecución remota de código.
Uno de los hallazgos más reveladores: un flujo de trabajo obsoleto de GitHub Actions donde un usuario externo podía introducir código malicioso mediante un comentario de pull request especialmente construido. Es el tipo de fallo fácil de pasar por alto en una auditoría manual, pero trivial para un modelo entrenado justo para detectar ese patrón.
Lo más llamativo, sin embargo, es el precio. Un mes de escaneo en nueve organismos gubernamentales costó solo 13.000 libras en tokens de IA. Una prueba de penetración tradicional de alcance comparable suele costar decenas o cientos de miles de libras y tomar semanas. Los equipos usaron enfoques distintos: uno armó una cadena de seis agentes de IA (triaje, validador, auditor, rastreador, juez y resumen), otro superpuso tres capas de modelos sobre escáneres convencionales como Gitleaks, Trivy y Semgrep.
El ministro de IA, Kanishka Narayan, anunció la expansión del programa en un discurso en el Imperial College de Londres. Se corrigieron todas las fallas críticas y no se halló evidencia de explotación en ningún caso. La Unidad de Ciberseguridad Gubernamental, el Centro Nacional de Ciberseguridad y el AI Security Institute planean ahora extender el método a código cerrado y más departamentos.
Hay un segundo hilo, menos tranquilizador, en el anuncio: Gran Bretaña empieza a redactar protocolos para el caso de que agentes de IA autónomos escapen a la supervisión humana. El lenguaje sigue siendo cauteloso — "riesgo de pérdida de control", "protocolos de respuesta a incidentes" — pero el hecho de que un gobierno confíe en la IA para cazar fallos en sus propios sistemas mientras planea cómo frenarla si se descontrola dice mucho sobre lo que ya está en juego.
