AI扫描英国政府公开代码发现百余严重漏洞

驱动中国11月10日消息，安全研究人员利用AI模型扫描英国政府公开发布的代码，发现100多个严重安全漏洞。由于相关部门缺乏基本的网络安全维护，这些漏洞可能导致敏感数据暴露，甚至为数据窃取和勒索软件攻击打开大门。

《连线》消息，过去约10年，英国政府一直默认公开发布使用公共资金开发的代码。这一做法一方面用于提高政府工作透明度，另一方面也有助于其他机构重复利用代码，降低开发成本。采用这一做法的机构包括英国卫生与社会关怀部、内政部以及地方政府部门。

近年来，资金紧张导致多个政府部门忽视了现有技术系统的维护和升级。安全公司ControlPlane研究人员克里斯·内斯比特-史密斯（Chris Nesbitt-Smith）利用Claude Opus和Sonnet AI模型扫描政府公开代码，发现大量安全问题。

其强调，自己使用的只是运行在笔记本电脑上的消费级AI模型，而许多漏洞甚至可以通过常规IT安全检查发现。“这些问题并不是主流媒体所担忧的那种高复杂度网络攻击手段，全都是些低级错误。”内斯比特-史密斯表示。

在其发现的问题中，最严重的一起涉及英国规划监察局（Planning Inspectorate）。该机构负责处理英格兰各地的土地利用规划事务。由于一次操作失误，机构工作人员将登录凭据意外提交到了公开代码托管平台GitHub。随后，相关部门未能彻底撤销这些凭据，导致它们仍然可以被使用。

更危险的是，这组凭据拥有极其广泛的访问权限，而且似乎没有设置有效期。内斯比特-史密斯认为，凭据意外公开与权限范围过大、长期有效等问题叠加，使这起事件格外危险。

其称，这组Microsoft Entra ID凭据几乎拥有整个系统的最高级别读写权限，可以访问所有SharePoint网站以及员工的私人OneDrive账户，其中包括人力资源记录。此外，攻击者还可能访问用于保存法定规划调查和上诉证据的敏感文件库。这些资料受到法律保全要求保护。