Peneliti keamanan menemukan lebih dari seratus kerentanan serius dalam kode publik pemerintah Inggris menggunakan alat kecerdasan buatan
13 November 2026 · Baca 3 menit
Juga diterbitkan dalam English, 日本語, Türkçe, العربية, Español, Italiano, Nederlands, Norsk, Русский, Svenska, Polski
Seorang peneliti keamanan menemukan lebih dari seratus kerentanan keamanan serius dalam kode yang dipublikasikan secara terbuka oleh pemerintah Inggris. Kerentanan tersebut dapat mengakibatkan paparan data sensitif dan membuka peluang bagi serangan pencurian data serta perangkat lunak tebusan.
Selama sekitar sepuluh tahun terakhir, pemerintah Inggris telah secara default mempublikasikan kode yang dikembangkan dengan dana publik untuk meningkatkan transparansi pemerintah dan memungkinkan institusi lain menggunakan kembali kode tersebut guna mengurangi biaya pengembangan. Departemen Kesehatan dan Perawatan Sosial, Departemen Dalam Negeri, dan departemen pemerintah lokal menerapkan kebijakan ini. Namun dalam beberapa tahun terakhir, keterbatasan anggaran menyebabkan banyak departemen pemerintah mengabaikan pemeliharaan dan peningkatan sistem teknologi yang ada.
Chris Nesbitt-Smith dari perusahaan keamanan ControlPlane menggunakan model kecerdasan buatan Claude Opus dan Sonnet untuk memindai kode publik pemerintah dan menemukan sejumlah besar masalah keamanan. Nesbitt-Smith menekankan bahwa dia hanya menggunakan model kecerdasan buatan tingkat konsumen yang berjalan di laptop, dan banyak kerentanan bahkan dapat ditemukan melalui pemeriksaan keamanan teknologi informasi rutin. Dia menyatakan bahwa masalah-masalah ini bukan merupakan teknik serangan siber yang kompleks seperti yang dikhawatirkan media arus utama, melainkan semua kesalahan tingkat rendah.
Kerentanan paling serius melibatkan Badan Inspeksi Perencanaan Inggris, yang menangani masalah perencanaan penggunaan lahan di seluruh Inggris. Karena kesalahan operasional, staf institusi secara tidak sengaja mengirimkan kredensial masuk ke platform penyimpanan kode publik GitHub. Departemen terkait gagal mencabut kredensial tersebut sepenuhnya, sehingga kredensial masih dapat digunakan. Kredensial Microsoft Entra ID ini memiliki izin akses yang sangat luas tanpa tanggal kedaluwarsa yang jelas, memungkinkan akses ke semua situs SharePoint dan akun OneDrive pribadi karyawan termasuk catatan sumber daya manusia. Penyerang juga dapat mengakses repositori file sensitif yang menyimpan penyelidikan perencanaan hukum dan bukti banding yang dilindungi oleh persyaratan pelestarian hukum. Penyerang dapat menggunakan izin ini untuk menerapkan perangkat lunak tebusan, mengenkripsi semua data, atau mencuri semua data.
Badan Inspeksi Perencanaan menyatakan bahwa alat pemantauan keamanan siber mereka segera mendeteksi aktivitas Nesbitt-Smith pada Agustus tahun ini. Sebelum ControlPlane menghubungi institusi, institusi telah menangani masalah ini sebagai insiden keamanan siber. Institusi mengkonfirmasi dan memperbaiki kerentanan dalam dua puluh menit setelah menerima laporan dan memverifikasi bahwa tidak ada kebocoran data yang terjadi. Juru bicara menyatakan bahwa institusi telah meninjau dan memperkuat sistem dan proses terkait untuk mencegah masalah serupa terjadi lagi.
Pemindaian mencakup tiga ratus empat puluh sembilan repositori kode sektor publik dari tiga puluh tiga institusi, dengan sekitar dua pertiga mengandung kerentanan keamanan. Departemen Pendidikan Inggris memiliki beberapa proyek dengan masalah, termasuk layanan pengadaan untuk sekolah, layanan aplikasi guru, dan sistem registrasi utama untuk institusi pelatihan yang didanai pemerintah Inggris dan program magang. Layanan aplikasi guru berisi informasi sensitif termasuk data pribadi, kualifikasi pendidikan, riwayat pekerjaan, dan dokumen identifikasi. Nesbitt-Smith juga menemukan kerentanan dalam portal data terbuka pemerintah Skotlandia yang memungkinkan pengunjung membaca informasi akun administratif dan bahkan mengubah konfigurasi situs.
Seiring dengan mempercepatan penemuan kerentanan oleh model kecerdasan buatan, perdebatan telah muncul mengenai apakah sektor publik Inggris harus terus mempublikasikan kode sumber. Pada Mei tahun ini, Layanan Kesehatan Nasional Inggris dilaporkan telah meminta tim teknologi secara bertahap menghentikan penggunaan kode sumber terbuka karena kekhawatiran tentang risiko keamanan yang mungkin ditimbulkan oleh model kecerdasan buatan. Pemerintah Inggris juga menerbitkan panduan yang membahas hubungan antara kode publik sektor publik dan risiko kerentanan.
Nesbitt-Smith berpendapat bahwa jika pemerintah hanya menghentikan publikasi kode tanpa segera memperbaiki kerentanan yang ada, hal itu dapat menghasilkan hasil terburuk. Dia menunjukkan bahwa kode publik memungkinkan peneliti keamanan menemukan dan melaporkan masalah, tetapi setelah repositori kode menjadi pribadi, peneliti kehilangan kesempatan untuk memeriksa kerentanan. Penyerang potensial mungkin telah menyalin dan menyimpan repositori kode ini dan masih dapat terus meneliti dan memanfaatkan kerentanan di dalamnya.