Güvenlik araştırmacısı yapay zeka araçlarıyla İngiltere hükümetinin açık kodunda yüzden fazla ciddi açığı buldu

Ancak son yıllarda bütçe kısıtlamaları, birçok hükümet departmanının mevcut teknoloji sistemlerinin bakımını ve yükseltmesini ihmal etmesine neden olmuştur. ControlPlane güvenlik şirketi araştırmacısı Chris Nesbitt-Smith, hükümetin açık kodunu taramak için Claude Opus ve Sonnet yapay zeka modellerini kullanarak çok sayıda güvenlik sorunu keşfetti. Nesbitt-Smith, kullandığı araçların yalnızca dizüstü bilgisayarda çalışan tüketici düzeyinde yapay zeka modelleri olduğunu ve birçok açığın rutin bilişim güvenliği kontrolleriyle bulunabileceğini vurgulamıştır. Araştırmacı, "Bu sorunlar ana akım medyanın endişe ettiği yüksek karmaşıklıklı siber saldırı yöntemleri değil, hepsi düşük seviye hatalarıdır" demiştir.

Keşfedilen sorunlar arasında en ciddi olanı İngiltere Planlama Müfettişliğini ilgilendirmektedir. Bir operasyon hatası nedeniyle, kurum çalışanları giriş kimlik bilgilerini yanlışlıkla halka açık kod depolama platformu GitHub'a göndermişlerdir. İlgili departmanlar bu kimlik bilgilerini tam olarak iptal etmediği için bunlar kullanılabilir durumda kalmıştır. Daha da tehlikeli olan, bu kimlik bilgilerinin son derece geniş erişim izinlerine sahip olması ve görünüşte hiçbir son kullanma tarihi bulunmamasıdır. Microsoft Entra ID kimlik bilgileri neredeyse tüm sistemin en yüksek düzey okuma yazma izinlerine sahiptir, tüm SharePoint web sitelerine ve çalışanların özel OneDrive hesaplarına erişebilir. Saldırganlar ayrıca yasal planlama soruşturmaları ve temyiz kanıtlarını saklayan hassas dosya depolarına erişebilir. Planlama Müfettişliği, siber güvenlik izleme araçlarının Ağustos ayında Nesbitt-Smith'in faaliyetini hemen tespit ettiğini ve ControlPlane iletişim kurmadan önce bunu bir siber güvenlik olayı olarak ele aldığını belirtmiştir. Kurum, rapor aldıktan sonra 20 dakika içinde açığı tespit edip düzelttiğini ve veri sızıntısı olmadığını doğruladığını söylemiştir.

Tarama, 33 kurumun 349 açık sektör kod deposunu kapsadı. Nesbitt-Smith, bunların yaklaşık üçte ikisinin güvenlik açıkları içerdiğini belirtmiştir. İngiltere Eğitim Bakanlığının birçok projesi, okullar tarafından kullanılan satın alma hizmetleri, öğretmen başvuru hizmeti ve İngiltere hükümetinin finanse ettiği eğitim kurumları ve çıraklık programlarının ana kayıt sistemi dahil olmak üzere sorunlar içerdiği tespit edilmiştir. Araştırmacı ayrıca İskoçya hükümetinin açık veri portal web sitesinde bir açığı bulmuştur. Bu açığı kullanarak herhangi bir ziyaretçi yönetici hesap bilgilerini okuyabilir ve hatta web sitesi yapılandırmasını değiştirebilir.

Yapay zeka modellerinin açık bulma hızını artırması nedeniyle, İngiltere kamu sektörünün kaynak kodunu yayınlamaya devam edip etmemesi gerektiği konusu yakın zamanda tartışmalara yol açmıştır. Nesbitt-Smith, hükümet yalnızca kodu kamuya açık hale getirmeyi durdurursa ancak mevcut açıkları hemen düzeltmezse, bunun en kötü sonucu doğurabileceğini düşünmektedir. Araştırmacı, açık kodun güvenlik araştırmacılarının sorunları bulmasına ve bildirmesine izin verdiğini, ancak kod deposu özel hale gelirse araştırmacıların açıkları kontrol etme fırsatını kaybettiğini belirtmiştir.