کشف بیش از ۱۰۰ آسیب‌پذیری امنیتی در کدهای دولتی بریتانیا

Security Flaws Across UK Government Sites Exposed ‘God-Tier’ Information

یک پژوهشگر امنیتی با استفاده از مدل‌های هوش مصنوعی، بیش از ۱۰۰ نقص امنیتی جدی را در کدهای منتشر شده توسط سازمان‌های دولتی بریتانیا شناسایی کرده است. این آسیب‌پذیری‌ها که ناشی از ضعف در نگهداری سیستم‌ها و خطاهای انسانی است، دسترسی‌های گسترده‌ای را برای مهاجمان احتمالی فراهم کرده بود.

جزئیات فنی و ماهیت آسیب‌پذیری‌ها

Chris Nesbitt-Smith، پژوهشگر شرکت ControlPlane، با استفاده از مدل‌های هوش مصنوعی Claude Opus و Sonnet بر روی یک لپ‌تاپ معمولی، ۳۴۹ پایگاه کد متعلق به ۳۳ سازمان دولتی بریتانیا را بررسی کرد. نتایج نشان داد که در دو‌سوم این موارد، نقص‌های امنیتی وجود دارد. این مشکلات نه به دلیل ماهیت متن‌باز بودن کدها، بلکه به دلیل ضعف در رعایت اصول اولیه امنیت و نگهداری سیستم‌ها رخ داده است.

در بحرانی‌ترین مورد، سازمان Planning Inspectorate به طور تصادفی اعتبارنامه‌های ورود به سیستم Microsoft Entra ID را در مخزن عمومی GitHub منتشر کرده بود. این نقص به مهاجم اجازه می‌داد دسترسی کامل (خواندن و نوشتن) به تمامی سایت‌های SharePoint و حساب‌های شخصی OneDrive کارکنان، از جمله سوابق منابع انسانی و مدارک حقوقی حساس، پیدا کند.

گستره تأثیرات و سازمان‌های درگیر

علاوه بر Planning Inspectorate، آسیب‌پذیری‌هایی در کدهای Department of Education شناسایی شد که شامل سرویس‌های تدارکات مدارس و سامانه‌های ثبت اطلاعات شخصی، سوابق شغلی و مدارک هویتی معلمان بود. همچنین در پورتال داده‌های باز دولت اسکاتلند، نقصی کشف شد که امکان دسترسی به اطلاعات حساب‌های مدیریتی و تغییر تنظیمات سایت را فراهم می‌کرد.

سازمان Planning Inspectorate اعلام کرد که ابزارهای نظارتی آن‌ها فعالیت این پژوهشگر را در ماه اوت شناسایی کرده و این نقص ظرف ۲۰ دقیقه پس از گزارش نهایی برطرف شد. این سازمان تأکید کرد که هیچ نشت داده‌ای رخ نداده است.

چالش‌های سیاست‌گذاری و امنیت

در پی افزایش نگرانی‌ها از نقش هوش مصنوعی در کشف سریع‌تر آسیب‌پذیری‌ها، بحث‌هایی پیرامون توقف انتشار عمومی کدهای دولتی مطرح شده است. با این حال، Nesbitt-Smith هشدار می‌دهد که مخفی کردن کدها بدون رفع مشکلات زیرساختی، بدترین رویکرد ممکن است؛ چرا که مهاجمان احتمالاً نسخه‌های قبلی این کدها را در اختیار دارند و این اقدام تنها باعث جلب توجه بیشتر به نقاط ضعف می‌شود.

نکته‌های کلیدی

• شناسایی بیش از ۱۰۰ آسیب‌پذیری در کدهای دولتی بریتانیا توسط هوش مصنوعی.
• نشت اعتبارنامه‌های حساس در GitHub توسط Planning Inspectorate که دسترسی سطح بالا (God-tier) ایجاد کرده بود.
• تأثیرگذاری نقص‌ها بر سامانه‌های حساس آموزشی و داده‌های دولتی اسکاتلند.
• تأکید بر اینکه مشکلات ناشی از ضعف در نگهداری (Housekeeping) است نه ماهیت متن‌باز بودن کدها.
• هشدار نسبت به بی‌فایده بودن پنهان‌سازی کدها بدون اصلاح ساختاری.

چه باید کرد

• اجرای چک‌لیست‌های سلامت IT به صورت دوره‌ای و منظم.
• بازبینی دقیق مخازن کد برای اطمینان از عدم وجود اعتبارنامه‌ها، کلیدهای API و اطلاعات حساس.
• تقویت فرآیندهای مدیریت دسترسی و استفاده از ابزارهای نظارتی برای شناسایی فعالیت‌های غیرمجاز.
• اصلاح زیرساخت‌های امنیتی پیش از هرگونه تصمیم‌گیری برای تغییر سیاست‌های انتشار کد.