セキュリティ · 2026年11月13日
英国政府公開コードから百件以上の重大脆弱性を発見、人工知能ツールで検出
セキュリティ研究員が英国政府が公開している開発コードの中から百件以上の深刻なセキュリティ脆弱性を発見した。基本的なサイバーセキュリティ保守の欠如により、これらの脆弱性は機密データの露出やデータ窃取、ランサムウェア攻撃につながる可能性がある。
英国政府は約十年間、公的資金で開発されたコードを公開することをデフォルトとしてきた。政府業務の透明性向上と他機関によるコード再利用を通じた開発コスト削減が目的である。英国衛生社会福祉省、内務省、地方政府部門を含む複数の機関がこの慣行を採用している。
ControlPlaneのセキュリティ研究員クリス・ネスビット・スミスは、Claude OpusおよびSonnetという人工知能モデルを使用して政府公開コードをスキャンし、多数のセキュリティ問題を発見した。彼は、ノートパソコン上で実行される消費者向け人工知能モデルのみを使用したこと、また多くの脆弱性は従来のIT安全検査で発見可能であることを強調した。
最も深刻な問題は英国規画監察局に関わるもので、職員が誤ってGitHubという公開コード管理プラットフォームにログイン認証情報を提出していた。当該部門は認証情報を完全に無効化できず、使用可能な状態が続いていた。この認証情報は極めて広範なアクセス権限を持ち、有効期限が設定されていなかった。Microsoft Entra IDの認証情報はシステム全体の最高レベルの読み書き権限を持ち、すべてのSharePointウェブサイトと職員の個人OneDriveアカウント、人事記録にアクセス可能であった。
規画監察局は、ネスビット・スミスの活動を八月に検出し、報告受領後二十分以内に脆弱性を確認・修復したと述べた。データ流出は発生していないと確認されている。
スキャンは三十三機関の三百四十九個の公共部門コード保存庫を対象とし、約三分の二に脆弱性が存在していた。英国教育省の複数プロジェクトにも問題が発見され、学校向け調達サービス、教員申請サービス、イングランド政府資金助成訓練機関および見習い事業の主要登録システムが含まれていた。