نقص‌های امنیتی در سایت‌های دولتی بریتانیا اطلاعات «رده خدا» را افشا کرد

دولت بریتانیا برای حدود یک دهه پیش‌فرض، کدی را که با پول عمومی تولید می‌کند، منتشر نمی‌کند، زیرا شفاف است، و آسان‌تر کردن استفاده مجدد از کد مقرون به صرفه است. این شامل وزارت بهداشت و مراقبت های اجتماعی و وزارت کشور و همچنین مقامات محلی می شود. اما فشارهای مالی باعث شده است که بخش ها از نگهداری و بهبود املاک فناوری خود غافل شوند.

در حالی که کریس نسبیت اسمیت، محقق امنیتی ControlPlane، آسیب‌پذیری‌ها را با استفاده از مدل‌های هوش مصنوعی کلود Opus و Sonnet پیدا کرد، او می‌گوید که از مدل‌های درجه یک مصرف‌کننده روی لپ‌تاپ استفاده کرده است و بسیاری از مشکلات را می‌توان با بررسی سلامت IT معمولی شناسایی کرد. او به WIRED می‌گوید: «هیچ‌کدام از اینها آن سطحی از پیچیدگی نیست که رسانه‌های عمومی از نظر حملات سایبری نگران آن هستند.

"همه چیزهای مزخرفی است." در جدی‌ترین موردی که او شناسایی کرد، بازرسی برنامه‌ریزی که مسائل مربوط به استفاده از زمین را در سراسر انگلستان مدیریت می‌کند، پس از اینکه به طور تصادفی آنها را به مخزن عمومی GitHub متعهد کرد، نتوانست به طور کامل ورود به سیستم را حذف کند. این واقعیت که اعتبارنامه‌ها به چنین دسترسی گسترده‌ای می‌دادند - و ظاهرا منقضی نمی‌شدند - به دلیل انتشار تصادفی آنها توسط آژانس، "این را به ویژه برای آنها خطرناک کرد." به گفته Nesbitt-Smith، شناسه کامل مایکروسافت Entra به تمام سایت‌های شیرپوینت و حساب‌های OneDrive کارکنان خصوصی، از جمله دسترسی خواندن و نوشتن «لایه خدا» را می‌دهد.

سوابق منابع انسانی به گفته محقق امنیتی که آن را پیدا کرده است، همچنین به کتابخانه‌های حساسی دسترسی می‌دهد که از شواهد قانونی برای تحقیقات و درخواست‌های برنامه‌ریزی قانونی محافظت می‌کنند. Nesbitt-Smith می‌گوید: «گزینه باج‌گیری، رمزگذاری تمام داده‌ها یا فقط سرقت همه داده‌ها، به وفور وجود داشت. سخنگوی بازرسی برنامه‌ریزی به WIRED گفت که ابزارهای نظارت سایبری آن بلافاصله فعالیت Nesbitt-Smith را در ماه آگوست شناسایی کردند و زمانی که ControlPlane با آن تماس گرفت، قبلا این موضوع را به عنوان یک حادثه سایبری مدیریت می‌کرد.

آژانس ظرف 20 دقیقه پس از گزارش این آسیب‌پذیری را شناسایی و برطرف کرد و تأیید کرد که هیچ گونه نقض داده رخ نداده است. آنها به WIRED گفتند: «ما سیستم‌ها و فرآیندهای خود را بررسی و تقویت کرده‌ایم تا از تکرار این نوع مسائل جلوگیری کنیم و از کار محقق و هشدار به ما در مورد آن سپاسگزاریم». آماندا براک، مدیر اجرایی گروه صنعتی غیرانتفاعی OpenUK، موضوع بازرسی برنامه‌ریزی «در مورد منبع باز نیست، بلکه به خانه‌داری داخلی در هنگام استفاده از ابزارهای عمومی مربوط می‌شود». او می‌افزاید: «این داده‌ها به دلیل عدم پیروی از روند خوب افشا شد.

"این یک مسئله امنیتی منبع باز نیست." او گفت که در حدود دو سوم از 349 پایگاه کدهای بخش عمومی در 33 سازمان که Nesbitt-Smith اسکن کرده بود، آسیب پذیری هایی پیدا کرده است. تعدادی از این موارد در کد وزارت آموزش و پرورش یافت شد، از جمله در یک سرویس تدارکاتی که توسط مدارس استفاده می‌شود، در یک سرویس درخواست معلم حاوی اطلاعات شخصی، مدارک تحصیلی، سابقه اشتغال و مدارک هویتی، و ثبت اصلی ارائه‌دهندگان آموزش و کارآموزی با بودجه دولتی در انگلستان.

او همچنین آسیب‌پذیری را در یک پورتال داده باز دولت اسکاتلند پیدا کرد که به هر بازدیدکننده اجازه می‌داد اطلاعات حساب اداری را بخواند و پیکربندی سایت را تغییر دهد. از آن زمان سازمان ها با این مسائل برخورد کردند. اخیرا استدلال هایی برای ادارات بخش دولتی برای توقف انتشار کد منبع در فضای باز وجود دارد، اکنون که هوش مصنوعی کشف آسیب پذیری را تسریع کرده است.

گزارش‌ها حاکی از آن است که NHS به تیم‌های فناوری در ماه می به دلیل نگرانی‌های امنیتی در مورد تأثیر مدل‌های هوش مصنوعی دستور داده است که از کد منبع باز خارج شوند. به گفته نسبیت اسمیت، انجام این کار بدون رفع فوری مشکلات اساسی، «بدترین سناریو» خواهد بود، زیرا از یافتن آن‌ها توسط محققانی مانند او جلوگیری می‌کند و احتمالا دشمن قبلا این مخازن را منعکس کرده است و بنابراین دسترسی به آنها را حفظ خواهد کرد.

نسبیت اسمیت می‌گوید: «اگر نمی‌خواهید بروید و همه مشکلات را برطرف کنید، احتمالا با بستن آن توجه بیشتری را به آن جلب می‌کنید، زیرا می‌گویید: «اینجا اژدها روی این فضا هستند. لطفا اینجا را نگاه نکنید».