英国政府公開コードから百件以上の重大脆弱性を発見、人工知能ツールで検出
2026年11月13日 · 読了 1 分
他の言語でも公開 English, Indonesia, Türkçe, العربية, Español, Italiano, Nederlands, Norsk, Русский, Svenska, Polski
セキュリティ研究者が英国政府により公開されたコードから百件以上の深刻なセキュリティ脆弱性を発見した。基本的なサイバーセキュリティ維持の欠如により、これらの脆弱性は機密データの露出、データ窃取、ランサムウェア攻撃につながる可能性がある。
ControlPlaneのセキュリティ研究者クリス・ネスビット・スミスは、Claude OpusおよびSonnetという人工知能モデルを使用して政府公開コードをスキャンし、多数のセキュリティ問題を発見した。彼はノートパソコンで実行される消費者向け人工知能モデルのみを使用したと強調し、多くの脆弱性は従来の情報技術セキュリティ検査で検出可能だったと述べた。
最も深刻な問題は英国規画監察局に関わるもので、職員が誤ってログイン認証情報をGitHubなどの公開コード保管プラットフォームに提出した。当該部門はこれらの認証情報を完全に無効化できず、依然として使用可能な状態が続いていた。Microsoft Entra ID認証情報は極めて広範なアクセス権限を持ち、有効期限が設定されていなかった。攻撃者はSharePointサイト全体、従業員の個人OneDriveアカウント、人事記録にアクセス可能であり、ランサムウェア展開やデータ暗号化、データ窃取が可能だった。
規画監察局は8月にネスビット・スミスの活動を検出し、報告受領後20分以内に脆弱性を確認・修復したと述べた。データ漏洩は発生していないと確認されている。
スキャンは33機関の349個の公開部門コード保管庫を対象とし、約3分の2に脆弱性が存在していた。英国教育部の複数プロジェクトにも問題が見つかり、スコットランド政府のデータポータルでも管理アカウント情報の読取りと設定変更が可能な脆弱性が発見された。