英国政府网站安全漏洞暴露‘神级’信息

安全研究人员克里斯·内斯比特-史密斯发现，英国政府多个公共部门网站因代码管理不善，存在逾百处严重漏洞，导致敏感数据面临风险。尽管英政府长期出于透明和复用目的公开使用公款开发的代码，但资金紧张导致各部门疏于维护。研究人员利用消费级AI工具在笔记本电脑上即可发现这些问题，他指出这些并非复杂的高级网络攻击，而是由于缺乏基础IT健康检查所致的低级错误。

其中最严重的案例涉及规划督察局。该局曾误将包含微软Entra ID凭据的代码提交至GitHub公开仓库，且未移除登录信息。该凭据拥有对SharePoint站点及员工OneDrive的“上帝级”读写权限，涵盖人事记录及法律证据库。规划督察局回应称，其监控工具早在8月便检测到异常并视为网络事件处理，在收到报告后20分钟内修复漏洞，并确认无数据泄露。行业组织OpenUK强调，这属于内部流程失误而非开源本身的问题。

此次扫描覆盖33个组织的349个公共部门代码库，约三分之二存在漏洞，包括教育部、苏格兰政府等机构。部分漏洞涉及学校采购服务、教师个人信息及培训提供商注册表，甚至允许外部访客修改苏格兰政府门户配置。目前相关组织已处理问题。随着AI加速漏洞发现，NHS等部门曾考虑停止公开源代码以规避风险，但这被专家批评为最坏情景，因为若不修复底层问题，封闭代码反而可能吸引攻击者关注，且既成事实的镜像访问难以消除。