研究人员用Claude扫描英国政府349个代码库，发现逾百个严重漏洞

安全公司 ControlPlane 的研究人员克里斯·内斯比特-史密斯用运行在笔记本电脑上的 Claude Opus 和 Sonnet 模型，扫描了英国 33 个机构的 349 个公共部门代码库，发现约三分之二存在安全漏洞，严重漏洞超过 100 个。

最严重的一起涉及英国规划监察局。该机构工作人员因操作失误，将登录凭据提交到 GitHub，事后未能彻底撤销，凭据仍可使用，且似乎没有设置有效期。这组 Microsoft Entra ID 凭据几乎拥有整个系统的最高级别读写权限，可访问所有 SharePoint 网站以及员工的私人 OneDrive 账户，其中包括人力资源记录；攻击者还可能触及保存法定规划调查和上诉证据的文件库。

规划监察局表示，其网络安全监控工具在 2026 年 8 月就发现了相关活动，在 ControlPlane 联系该机构之前，已将其作为网络安全事件处理；收到报告后 20 分钟内确认并修复了漏洞，并核实未发生数据泄露，随后审查并强化了系统和流程。

英国教育部的采购服务、教师申请服务，以及英格兰政府资助培训机构和学徒项目的主要登记系统也被发现存在问题；苏格兰政府的一个开放数据门户同样存在漏洞。相关机构目前均已处理。

内斯比特-史密斯表示，这些问题多是低级错误，常规 IT 安全检查也能发现。非营利行业组织 OpenUK 首席执行官阿曼达·布罗克认为，规划监察局事件与开源软件本身无关，问题在于政府内部使用公共工具时缺乏规范管理。