Исследователь безопасности обнаружил уязвимости в открытом коде британских госорганизаций, включая ведомства и местные органы власти. Проверку провёл специалист компании ControlPlane Крис Несбитт-Смит с помощью моделей Claude Opus и Sonnet. По его словам, для этого хватило обычных пользовательских версий ИИ на ноутбуке, а многие ошибки выявила бы стандартная проверка IT-систем.
Всего Несбитт-Смит нашёл больше 100 серьёзных уязвимостей. Он проверил 349 открытых кодовых баз 33 организаций государственного сектора, и примерно в двух третях из них обнаружились проблемы. Некоторые из них могли открыть доступ к чувствительным данным и позволить менять настройки сервисов.
Самой опасной находкой стала ошибка Инспектората по планированию, который занимается вопросами землепользования в Англии. Ведомство случайно опубликовало учётные данные в открытом репозитории GitHub, а после этого не отозвало их полностью. По словам исследователя, доступ был широким и, судя по всему, не ограничивался сроком действия.
Эти данные могли предоставить права чтения и записи во всей среде Microsoft Entra ID: на сайтах SharePoint и в личных хранилищах OneDrive сотрудников. Среди потенциально доступной информации были кадровые документы и материалы, связанные с расследованиями и апелляциями по вопросам планирования. Несбитт-Смит также отметил, что злоумышленник мог бы зашифровать или похитить данные.
Представитель Инспектората сообщил WIRED, что система кибермониторинга заметила действия исследователя в августе. К моменту обращения ControlPlane ведомство уже рассматривало ситуацию как киберинцидент. Уязвимость устранили в течение 20 минут после сообщения, а проверка подтвердила, что утечки данных не произошло. Ведомство заявило, что пересмотрело и усилило системы и процессы, чтобы подобная проблема не повторилась.
Глава некоммерческой отраслевой организации OpenUK Аманда Брок назвала этот случай проблемой внутреннего управления учётными данными, а не безопасности открытого кода. По её словам, данные оказались доступны из-за несоблюдения надлежащих процедур при работе с публичными инструментами.
Уязвимости обнаружились и в коде Министерства образования Великобритании. Среди затронутых сервисов были система закупок для школ и платформа подачи заявлений учителей. В последней хранились персональные данные, сведения о квалификации и трудовом стаже, а также документы, подтверждающие личность. Проблема затронула и главный реестр Англии с данными о финансируемых государством поставщиках обучения и программах ученичества.
Отдельную уязвимость исследователь нашёл на портале открытых данных правительства Шотландии. Она позволяла любому посетителю просматривать административные данные учётных записей и менять настройки сайта. По сообщению WIRED, все организации, где обнаружили проблемы, уже приняли меры.
Британские ведомства публикуют код, созданный на государственные средства, примерно десять лет. Такой подход поддерживает прозрачность и позволяет повторно использовать готовые решения. Однако, как говорится в материале, из-за нехватки финансирования некоторые ведомства не могли должным образом обслуживать и обновлять IT-системы.
После того как ИИ ускорил поиск уязвимостей, прозвучали предложения прекратить публиковать исходный код в государственном секторе. В мае, как сообщалось, Национальная служба здравоохранения Великобритании распорядилась перевести технологические команды на работу без открытого кода из-за опасений по поводу влияния ИИ-моделей. Несбитт-Смит считает худшим вариантом закрыть репозитории, не устранив найденные проблемы: исследователям станет сложнее их обнаруживать, тогда как злоумышленники могли заранее скопировать код и сохранить к нему доступ.