Un ricercatore di sicurezza scopre oltre cento vulnerabilità critiche nel codice pubblico del governo britannico utilizzando modelli di intelligenza artificiale
13 novembre 2026 · 4 min di lettura
Pubblicato anche in English, Indonesia, 日本語, Türkçe, العربية, Español, Nederlands, Norsk, Русский, Svenska, Polski
Un ricercatore di sicurezza ha identificato più di cento gravi falle di sicurezza nel codice reso pubblico dal governo britannico. Le vulnerabilità sono emerse a causa della mancanza di manutenzione informatica di base presso i dipartimenti governativi interessati, il che potrebbe esporre dati sensibili e aprire la strada a furti di dati e attacchi ransomware.
Per circa dieci anni, il governo britannico ha reso pubblico il codice sviluppato con fondi pubblici al fine di aumentare la trasparenza e consentire ad altre istituzioni di riutilizzare il codice per ridurre i costi di sviluppo. Questa pratica è stata adottata da organismi come il Dipartimento della Sanità e dell'Assistenza Sociale, il Ministero dell'Interno e i governi locali. Tuttavia, negli ultimi anni i tagli di bilancio hanno portato molti dipartimenti governativi a trascurare la manutenzione e l'aggiornamento dei sistemi tecnologici esistenti.
Chris Nesbitt-Smith, ricercatore presso ControlPlane, ha utilizzato i modelli di intelligenza artificiale Claude Opus e Sonnet per scansionare il codice pubblico del governo e ha scoperto numerosi problemi di sicurezza. Ha sottolineato che ha utilizzato solo modelli di intelligenza artificiale di consumo eseguiti su un computer portatile, e che molte delle vulnerabilità avrebbero potuto essere individuate attraverso controlli di sicurezza informatica standard. Ha affermato che i problemi riscontrati non erano sofisticati attacchi informatici, ma errori elementari.
La vulnerabilità più grave riguardava l'Ispettorato della Pianificazione, l'organismo responsabile della gestione delle questioni di pianificazione territoriale in Inghilterra. Un dipendente ha accidentalmente caricato le credenziali di accesso su GitHub, una piattaforma pubblica di hosting del codice. Il dipartimento non ha revocato completamente queste credenziali, che rimangono utilizzabili. Le credenziali di Microsoft Entra ID avevano autorizzazioni estremamente ampie senza data di scadenza, consentendo l'accesso a tutti i siti SharePoint e agli account OneDrive privati dei dipendenti, inclusi i fascicoli delle risorse umane. Gli aggressori avrebbero potuto accedere anche a archivi sensibili contenenti prove di indagini sulla pianificazione e appelli, protetti da requisiti di conservazione legale. Nesbitt-Smith ha indicato che gli aggressori avrebbero potuto distribuire ransomware, crittografare tutti i dati o rubare l'intero contenuto.
L'Ispettorato della Pianificazione ha dichiarato che i suoi strumenti di monitoraggio della sicurezza informatica hanno rilevato immediatamente l'attività di Nesbitt-Smith ad agosto. Prima che ControlPlane contattasse l'organismo, l'Ispettorato aveva già trattato il caso come un incidente di sicurezza informatica. Ha confermato e corretto la vulnerabilità entro venti minuti dalla ricezione della segnalazione e ha verificato che non si era verificata alcuna perdita di dati. L'organismo ha dichiarato di aver rivisto e rafforzato i sistemi e i processi pertinenti.
La scansione ha coperto trecentoquarantanove repository di codice del settore pubblico provenienti da trentatre organismi. Circa due terzi di essi contenevano vulnerabilità di sicurezza. Sono stati identificati problemi in diversi progetti del Dipartimento dell'Istruzione britannico, inclusi servizi di approvvigionamento per le scuole, servizi di candidatura per insegnanti e il principale sistema di registrazione per gli enti di formazione finanziati dal governo e i programmi di apprendistato in Inghilterra. Il servizio di candidatura per insegnanti conteneva informazioni personali sensibili, qualifiche accademiche, storia lavorativa e documenti di identificazione. Sono state scoperte anche vulnerabilità in un portale di dati aperti del governo scozzese che avrebbero potuto consentire a qualsiasi visitatore di leggere informazioni sull'account amministratore e modificare le configurazioni del sito.
La scoperta ha riacceso il dibattito sulla necessità che il settore pubblico britannico continui a rendere pubblico il codice sorgente. Nel maggio di quest'anno, il Servizio Sanitario Nazionale britannico avrebbe richiesto ai team tecnici di interrompere gradualmente l'uso del codice open source a causa delle preoccupazioni sui rischi di sicurezza derivanti dai modelli di intelligenza artificiale. Il governo britannico ha inoltre pubblicato linee guida che discutono la relazione tra il codice pubblico del settore pubblico e i rischi di vulnerabilità.
Nesbitt-Smith ha tuttavia sostenuto che se il governo semplicemente interrompe la pubblicazione del codice senza correggere immediatamente le vulnerabilità esistenti, potrebbe verificarsi lo scenario peggiore. Ha indicato che il codice pubblico consente ai ricercatori di sicurezza di scoprire e segnalare i problemi, mentre una volta che i repository diventano privati, i ricercatori perdono l'opportunità di verificare le vulnerabilità. Gli aggressori potenziali avrebbero probabilmente già copiato e conservato questi repository e potrebbero continuare a ricercare e sfruttare le vulnerabilità al loro interno.