英国政府公开代码曝百余高危漏洞：规划监察局凭据泄露最严重

据《连线》报道，一名安全研究人员在英国政府公开发布的代码里找出了 100 多个严重安全漏洞。11 月 10 日消息，由于相关部门缺少基本的网络安全维护，这些漏洞可能让敏感数据暴露在外，甚至给数据窃取和勒索软件攻击留下入口。

过去约 10 年，英国政府一直默认把用公共资金开发的代码公开出来。这么做，一是让政府工作更透明，二是方便其他机构复用代码、压低开发成本。英国卫生与社会关怀部、内政部以及地方政府部门都采用了这一做法。

不过近几年资金紧张，多个政府部门对现有技术系统的维护和升级就没跟上。安全公司 ControlPlane 的研究人员克里斯 · 内斯比特-史密斯（Chris Nesbitt-Smith）用 Claude Opus 和 Sonnet AI 模型扫描政府公开代码，查出了大量安全问题。

他特别提到，自己用的只是跑在笔记本电脑上的消费级 AI 模型，不少漏洞靠常规 IT 安全检查就能发现。

内斯比特-史密斯在接受采访时说：“这些问题并不是主流媒体所担忧的那种高复杂度网络攻击手段，全都是些低级错误。”

规划监察局账号泄露，可能导致整个 SharePoint 系统失守

他发现的这些问题里，最严重的一起出在英国规划监察局（Planning Inspectorate）。该机构负责处理英格兰各地的土地利用规划事务。

机构工作人员有一次操作失误，把登录凭据误提交到了公开代码托管平台 GitHub。事后相关部门没有把这些凭据彻底撤销，它们仍然能被使用。

更麻烦的是，这组凭据的访问权限极广，而且看起来没有设置有效期。内斯比特-史密斯判断，凭据意外公开，再加上权限过大、长期有效，几件事叠在一起，让这起事件格外危险。

按他的说法，这组 Microsoft Entra ID 凭据几乎握有整个系统的最高级别读写权限，所有 SharePoint 网站以及员工的私人 OneDrive 账户都能访问，人力资源记录也在其中。

攻击者还可能进入用于保存法定规划调查和上诉证据的敏感文件库。这些资料受法律保全要求保护。

内斯比特-史密斯表示，攻击者完全有条件借这些权限部署勒索软件、把全部数据加密，或者直接把所有数据窃走。

规划监察局称，其网络安全监控工具在今年 8 月就第一时间发现了内斯比特-史密斯的相关活动。ControlPlane 联系该机构之前，机构已把这起事件当作网络安全事件处理。

该机构表示，收到报告后 20 分钟内就确认并修复了漏洞，并核实没有发生数据泄露。发言人称，机构已审查并强化相关系统和流程，防止类似问题重演，同时对研究人员发现并报告问题表示感谢。

非营利行业组织 OpenUK 首席执行官阿曼达 · 布罗克（Amanda Brock）认为，规划监察局这起事件跟开源软件本身没关系，问题出在政府内部使用公共工具时缺少规范管理。

她说，数据暴露是因为相关人员没有遵循正确的操作流程，这不是开源软件的安全问题。

349 个政府代码库中，约三分之二存在漏洞

这次扫描覆盖 33 个机构的 349 个公共部门代码库。内斯比特-史密斯称，其中约三分之二存在安全漏洞。

英国教育部的多个项目同样被查出问题，包括供学校使用的采购服务、教师申请服务，以及英格兰政府资助培训机构和学徒项目的主要登记系统。

其中，教师申请服务存有个人资料、学历资质、工作经历以及身份证明文件等敏感信息。

另外，他在苏格兰政府的一个开放数据门户网站上也发现了漏洞。借这个漏洞，任何访问者都可能读取管理账户信息，甚至改动网站配置。

相关机构目前都已处理这些安全问题。

AI 加速漏洞发现，英国政府考虑收紧代码公开政策

AI 模型让漏洞发现速度加快，英国公共部门是否还应继续公开发布源代码，近期也引起了争论。

今年5月有报道称，英国国家医疗服务体系（NHS）要求技术团队逐步停用开源代码，理由是对AI模型可能带来的安全风险感到担忧。英国政府同样发布了指导意见，围绕公共部门公开代码与漏洞风险之间的关系展开讨论。

内斯比特-史密斯却不认同这种处理方式。在他看来，政府若只是停掉代码公开、又不马上去修补已有漏洞，结果可能适得其反，成为最糟的一种局面。

他的理由是：代码公开时，安全研究人员才有机会发现问题并上报；代码库一旦转成私有，研究人员也就没法再检查漏洞了。问题是，潜在攻击者很可能早就把这些代码库复制留存下来，照样能继续研究、继续利用其中的漏洞。

内斯比特-史密斯表示，要是并不打算把所有问题都处理掉，那关掉代码库说不定反倒招来更多目光——等于对外放话：这地方有危险，可别往这儿瞧。

争论背后还有一个更根本的疑问：AI的确把发现软件漏洞的门槛拉低了，可真正要解决的也许不是代码该不该公开，而是政府部门能不能及时补上漏洞、把权限管好，并把日常的网络安全维护做到位。