Sikkerhetsforskere finner over hundre alvorlige sikkerhetshull i britisk regjeringskode ved hjelp av kunstig intelligens
13. november 2026 · 2 min lesing
Også publisert på English, Indonesia, 日本語, Türkçe, العربية, Español, Italiano, Nederlands, Русский, Svenska, Polski
En sikkerhetsforskere oppdaget over hundre alvorlige sikkerhetshull i offentlig tilgjengelig kode utgitt av britiske regjeringsinstitusjoner. Funnene avslørte at mangel på grunnleggende cybersikkerhetsvern kunne føre til eksponering av sensitiv data og åpne døren for datatyveri og løsepengevareangrepet.
Den britiske regjeringen har i omkring ti år gjort det til standard praksis å offentliggjøre kode utviklet med offentlige midler. Formålet var å øke transparensen i regjeringsarbeidet og tillate andre institusjoner å gjenbruke koden for å redusere utviklingskostnadene. Institusjoner som har fulgt denne praksisen inkluderer Helse- og omsorgsdepartementet, Innenriksdepartementet og lokale regjeringsdeler.
I de senere årene har budsjettbegrensninger ført til at flere regjeringsdepartement har neglisjert vedlikehold og oppgradering av eksisterende teknologisystemer. Sikkerhetsselskapet ControlPlane brukte kunstig intelligens-modellene Claude Opus og Sonnet til å skanne regjeringskoden og avdekket et stort antall sikkerhetsproblemer. Forskeren Chris Nesbitt-Smith understreket at han kun brukte forbrukerklasse kunstig intelligens-modeller som kjørte på en bærbar datamaskin, og at mange av sårbarhetene kunne blitt oppdaget gjennom vanlige IT-sikkerhetskontroller.
Det alvorligste problemet som ble funnet, involverte Planning Inspectorate, som håndterer jordbruksplanleggingssaker i England. En ansatt hadde ved en feil lastet opp påloggingslegitimasjon til den offentlige kodedelingsplattformen GitHub. Institusjonen hadde ikke fullstendig tilbakekalt disse legitimasjonene, som fortsatt kunne brukes. Legitimasjonene hadde ekstremt bredt tilgangsomfang og så ikke ut til å ha noen utløpsdato. Microsoft Entra ID-legitimasjonene hadde praktisk talt høyeste nivå lese- og skriverettigheter for hele systemet, inkludert tilgang til alle SharePoint-nettsteder og ansattes private OneDrive-kontoer som inneholdt personalressursposter. Angripere kunne potensielt få tilgang til sensitive filarkiver som inneholder lovpålagte planleggingsundersøkelser og ankesaker.
Planning Inspectorate uttalte at sikkerhetskontrollverktøyene deres oppdaget Nesbitt-Smiths aktivitet umiddelbart i august. Institusjonen hadde allerede behandlet saken som en cybersikkerhetshendelse før ControlPlane kontaktet dem. Institusjonen bekreftet og reparerte sårbarheten innen tjue minutter etter å ha mottatt rapporten og bekreftet at ingen datalekkasje hadde skjedd.
Skanningen dekket trehundrenittiniu offentlige kodearkiver fra trettitre institusjoner. Nesbitt-Smith fant at omtrent to tredjedeler av dem hadde sikkerhetshull. Flere prosjekter ved Utdanningsdepartementet ble funnet å ha problemer, inkludert innkjøpstjenester for skoler, læreransøkningstjenester og det viktigste registreringssystemet for engelske statsstøttede opplæringsinstitusjoner og lærlingeprogrammer. Læreransøkningstjenesten inneholdt sensitiv informasjon som personlige detaljer, utdanningslegitimasjon, arbeidshistorie og identitetsbevis. Nesbitt-Smith fant også sårbarheter i en åpen dataportal for den skotske regjeringen som kunne tillate besøkende å lese administratorkontoopplysninger og til og med endre nettstedskonfigurasjonen.
Diskusjonen om hvorvidt britiske offentlige sektor bør fortsette å offentliggjøre kildekode har intensivert ettersom kunstig intelligens-modeller akselererer sårbarhetsoppdagelse. I mai rapporterte det britiske nasjonale helsevesenet at det ba teknologiteam om gradvis å slutte å bruke åpen kildekode på grunn av bekymringer for sikkerhet fra kunstig intelligens-modeller. Nesbitt-Smith hevdet imidlertid at hvis regjeringen bare stoppet offentliggjøring av kode uten å reparere eksisterende sårbarheter, kunne det føre til de verste resultatene.