英国政府代码暴露百余项漏洞，AI模型加速公共部门安全审计争议

安全研究公司ControlPlane的研究员Chris Nesbitt-Smith利用Anthropic的Claude Opus和Sonnet AI模型，扫描了英国政府多个部门的公开代码库，发现了超过100个严重安全漏洞。这些漏洞导致敏感数据面临风险，主要源于糟糕的网络卫生状况而非高深黑客技术。Nesbitt-Smith指出，他使用的是消费级模型并在笔记本电脑上运行，许多问题本可通过常规IT健康检查发现。

其中最严重的案例涉及负责英格兰土地使用事务的规划监察局（Planning Inspectorate）。该机构在GitHub公共仓库中意外提交并未能完全移除登录凭证，这些凭证提供了对Microsoft Entra ID的“上帝级”读写权限，可访问所有SharePoint站点、私人OneDrive账户及HR记录。虽然该机构表示在收到报告后20分钟内修复了漏洞且未发生数据泄露，但这一事件凸显了公共部门在维护其技术资产时的疏忽。

此次审计覆盖了33个组织的349个公共部门代码库，其中约三分之二存在漏洞。受影响机构包括教育部（涉及学校采购服务、教师申请系统及培训提供者注册表）和苏格兰政府开放数据门户。尽管英国政府过去十年默认公开使用公共资金生产的代码以提高透明度和复用效率，但资金紧缩导致维护不足。

随着AI加速漏洞发现，关于公共部门是否应停止开源源代码的争论日益激烈。据报道，英国国家医疗服务体系（NHS）已在5月下令技术团队转向非开源代码。然而，Nesbitt-Smith警告称，如果不先解决底层问题就关闭代码库是“最坏的情况”，因为攻击者可能已经镜像了这些仓库，而关闭反而可能引起更多关注。