Badacz bezpieczeństwa odkrył ponad sto poważnych luk w kodzie opublikowanym przez brytyjski rząd przy pomocy narzędzi sztucznej inteligencji
13 listopada 2026 · Czas czytania: 2 min
Dostępne również w English, Indonesia, 日本語, Türkçe, العربية, Español, Italiano, Nederlands, Norsk, Русский, Svenska
Pracownik firmy ControlPlane Chris Nesbitt-Smith odkrył ponad sto poważnych luk bezpieczeństwa w kodzie publicznie udostępnianym przez brytyjskie instytucje rządowe. Badacz wykorzystał modele sztucznej inteligencji Claude Opus i Sonnet do skanowania kodów źródłowych opublikowanych przez różne departamenty rządowe.
Brytyjski rząd przez około dziesięć lat publicznie udostępniał kod opracowany za pomocą środków publicznych, aby zwiększyć przejrzystość pracy rządowej i umożliwić innym instytucjom ponowne wykorzystanie kodu w celu zmniejszenia kosztów rozwoju. Praktykę tę stosują takie instytucje jak Ministerstwo Zdrowia i Opieki Społecznej, Ministerstwo Spraw Wewnętrznych oraz samorządy lokalne.
Nesbitt-Smith podkreślił, że do skanowania użył jedynie konsumenckiego modelu sztucznej inteligencji działającego na laptopie, a wiele odkrytych luk mogłoby zostać znalezionych poprzez standardowe kontrole bezpieczeństwa informatycznego. Stwierdził, że problemy nie stanowią zaawansowanych ataków cybernetycznych, lecz są to błędy podstawowe.
Najpoważniejsza luka dotyczyła Planning Inspectorate, instytucji odpowiedzialnej za sprawy zagospodarowania przestrzennego w Anglii. Pracownik tej instytucji przypadkowo przesłał dane logowania na platformę GitHub. Instytucja nie w pełni unieważniła te dane uwierzytelniające, które pozostały aktywne. Ponadto dane te posiadały bardzo szerokie uprawnienia dostępu bez ustalonego okresu ważności. Poświadczenia Microsoft Entra ID miały dostęp do odczytu i zapisu na najwyższym poziomie systemu, mogły uzyskiwać dostęp do wszystkich witryn SharePoint oraz prywatnych kont OneDrive pracowników, w tym dokumentów zasobów ludzkich. Atakujący mogliby wdrożyć oprogramowanie wymuszające okup, zaszyfrować wszystkie dane lub je ukraść.
Planning Inspectorate poinformowała, że jej narzędzia monitorowania bezpieczeństwa sieci wykryły aktywność Nesbitt-Smitha w sierpniu. Instytucja naprawiła lukę w ciągu dwudziestu minut od otrzymania raportu i potwierdziła, że nie doszło do wycieku danych.
Badanie objęło trzydzieści trzy instytucje i trzysta czterdzieści dziewięć publicznych repozytoriów kodu. Około dwie trzecie z nich zawierało luki bezpieczeństwa. Ministerstwo Edukacji miało problemy w wielu projektach, w tym w usługach zamówień dla szkół, usługach aplikacji nauczycieli oraz głównym systemie rejestracji dla instytucji szkoleniowych finansowanych przez rząd Anglii i programów praktyk. Usługa aplikacji nauczycieli zawierała wrażliwe informacje takie jak dane osobowe, kwalifikacje edukacyjne, doświadczenie zawodowe i dokumenty tożsamości. Badacz odkrył również luki w portalu danych otwartych rządu szkockiego, które mogłyby pozwolić każdemu odczytać informacje konta administracyjnego lub zmodyfikować konfigurację witryny.
Rosnąca szybkość wykrywania luk przez modele sztucznej inteligencji wywołała debatę na temat tego, czy brytyjski sektor publiczny powinien nadal publicznie udostępniać kod źródłowy. W maju Narodowa Służba Zdrowia podobno poprosiła zespoły techniczne o stopniowe zaprzestanie używania kodu otwartego z powodu obaw o zagrożenia bezpieczeństwa związane z modelami sztucznej inteligencji. Nesbitt-Smith argumentuje jednak, że jeśli rząd jedynie zamknie dostęp do kodu bez naprawy istniejących luk, może to spowodować gorsze skutki, ponieważ potencjalni atakujący mogą już posiadać kopie tych repozytoriów.