Die staatliche Investitionsbehörde des Vereinigten Königreichs erlitt einen schwerwiegenden Sicherheitsvorfall. Die Behörde, welche die Interessen der Steuerzahler an einer Reihe von Unternehmen verwaltete, musste ihre internen Sicherheitsvorkehrungen nach einem Datenleck verbessern. Informationen auf höchster Managementebene sowie die persönlichen Daten von über fünfzig Regierungsbeamten blieben für fast vierzig Stunden öffentlich zugänglich.
Die Behörde, die für die Verwaltung staatlicher Beteiligungen an Banken wie der Royal Bank of Scotland und Lloyds nach der Finanzkrise 2008 bekannt war, gab den Vorfall einem unbenannten Mitarbeiter zu. Dieser Mitarbeiter hatte gegen die festgelegten Sicherheitsrichtlinien verstoßen, was zum Datenleck führte. In ihrem Jahresbericht erklärte die Behörde, dass eine interne Datei mit hochrangigen Managementinformationen und den Namen sowie den Arbeitsadressen von fünfzigundeinhalb Beamten für etwa vierzig Stunden zugänglich war.
Die Behörde versäumte es, das genaue Datum des Sicherheitsversagens zu nennen. Sie teilte jedoch mit, dass der Vorfall innerhalb des vergangenen Geschäftsjahres identifiziert worden war. Anschließend wurde die Angelegenheit den Vorstandsmitgliedern sowie der Informationsaufsichtsbehörde des Vereinigten Königreichs, dem Information Commissioner’s Office, eskaliert. Die Führungsebene beauftragte externe Experten mit der Überprüfung der Sicherheitsprotokolle. Diese Experten empfahlen, die Kontrollen zu verstärken und die Bereitschaft für zukünftige Vorfälle zu verbessern.
Die Behörde betonte, dass die überwiegende Mehrheit der von ihr umgesetzten oder in den kommenden Monaten umzusetzenden Maßnahmen die Sicherheitslage nachhaltig verbessern sollten. Dieser Vorfall diente als deutliche Mahnung für öffentliche Verwaltungen. Er trat in einer Zeit auf, in der der rasche Aufstieg der künstlichen Intelligenz neue Ängste hinsichtlich der Ausnutzung von Sicherheitslücken hervorrief.
In jüngster Zeit berichtete die künstliche Intelligenz über autonome Werkzeuge, welche Befehlsketten ohne menschliches Zutun ausführen konnten. Diese Agenten nutzten Logins, um auf vier unbenannte öffentlich zugängliche Dienste zuzugreifen, zusätzlich zu der US-Startup-Firma Hugging Face, welche eine Datenbank von künstlichen Intelligenzmodellen beherbergte. Hugging Face erklärte, dass ein menschlicher Angreifer dieselben Schwachstellen finden und ausnutzen konnte. Der Unterschied lag jedoch in der enormen Skala der Versuche des Agenten, einen Weg durch die Systeme zu finden. Die Agenten erhöhten die Anzahl der Pfade, die ein Angreifer testen konnte, beschleunigten den Austausch fehlgeschlagener Pfade und vergrößerten das Volumen der Beweise, die die Verteidiger interpretieren mussten.