به گزارش  WIRED، کریس نسبیت اسمیت، پژوهشگر امنیت سایبری شرکت  ControlPlane، با بررسی کدهای نرم‌افزاری منتشرشده از سوی نهادهای دولتی بریتانیا، مجموعه‌ای از آسیب‌پذیری‌های امنیتی را کشف کرد که برخی از آن‌ها خطر جدی برای اطلاعات سازمانی به همراه داشتند.

این پژوهشگر در جریان بررسی ۳۴۹ مخزن کد متعلق به ۳۳ سازمان دولتی، در حدود دوسوم مخازن بررسی‌شده ضعف‌های امنیتی پیدا کرد. بیش از ۱۰۰ مورد از این آسیب‌پذیری‌ها در دسته مشکلات جدی قرار داشتند.

دسترسی گسترده به اطلاعات محرمانه دولتی

یکی از خطرناک‌ترین موارد شناسایی‌شده به سازمان Planning Inspectorate بریتانیا مربوط می‌شود؛ نهادی که مسئول رسیدگی به مسائل مرتبط با کاربری زمین و برنامه‌ریزی شهری در انگلستان است.

این سازمان پیش‌تر اطلاعات ورود به یکی از سامانه‌های خود را به‌اشتباه در یک مخزن عمومی GitHub  منتشر کرده بود. مشکل زمانی جدی‌تر شد که اطلاعات ورود افشاشده به‌طور کامل از دسترس خارج نشد و اعتبار آن نیز همچنان برقرار بود.

به گفته نسبیت اسمیت، این اطلاعات امکان دسترسی گسترده به سامانه Microsoft Entra ID را فراهم می‌کرد. چنین سطحی از دسترسی می‌توانست مشاهده و تغییر اطلاعات موجود در سایت‌های SharePoint  و حساب‌های خصوصی OneDrive کارکنان را امکان‌پذیر کند.

سوابق منابع انسانی، پرونده‌های پرسنلی و اسناد حساس مرتبط با بررسی‌های قانونی و پرونده‌های برنامه‌ریزی شهری نیز در معرض دسترسی غیرمجاز قرار داشتند. این پژوهشگر هشدار داده بود که مهاجم با استفاده از چنین دسترسی‌ای می‌توانست اطلاعات سازمان را سرقت کند یا با رمزگذاری فایل‌ها، زمینه اخاذی از نهاد دولتی را فراهم آورد.

سخنگوی Planning Inspectorate اعلام کرده است که ابزارهای نظارتی امنیتی این سازمان فعالیت پژوهشگر را در ماه اوت شناسایی کرده بودند. این نهاد پس از دریافت گزارش رسمی، آسیب‌پذیری را ظرف ۲۰ دقیقه برطرف کرد و مدعی شد بررسی‌های انجام‌شده هیچ نشانه‌ای از نشت اطلاعات نشان نداده است.

ضعف‌های امنیتی در سامانه‌های وزارت آموزش و دولت اسکاتلند

بررسی کدهای عمومی به کشف آسیب‌پذیری در چند نهاد دولتی دیگر نیز منجر شد. بخشی از این مشکلات در سامانه‌های وابسته به وزارت آموزش بریتانیا قرار داشتند.

یکی از موارد به سامانه تدارکات و تأمین خدمات مورد استفاده مدارس مربوط می‌شد. همچنین در سامانه ثبت اطلاعات معلمان، ضعفی امنیتی وجود داشت که می‌توانست اطلاعات شخصی، مدارک هویتی، سوابق شغلی و صلاحیت‌های حرفه‌ای آن‌ها را در معرض دسترسی غیرمجاز قرار دهد.

سامانه ثبت ارائه‌دهندگان آموزش و کارآموزی با بودجه دولتی در انگلستان نیز از دیگر بخش‌هایی بود که در جریان این بررسی آسیب‌پذیری‌هایی در آن شناسایی شد.

در موردی دیگر، پژوهشگر یک ضعف امنیتی در درگاه داده‌باز دولت اسکاتلند پیدا کرد. این آسیب‌پذیری به هر بازدیدکننده اجازه می‌داد اطلاعات حساب‌های مدیریتی را مشاهده کند و تنظیمات وب‌سایت را تغییر دهد. سازمان‌های مربوطه اعلام کرده‌اند که مشکلات شناسایی‌شده را برطرف کرده‌اند.

نقش هوش مصنوعی در شناسایی آسیب‌پذیری‌های سایبری

یکی از نکات مهم این پژوهش، استفاده از مدل‌های هوش مصنوعی Claude Opus و Sonnet برای بررسی کدها و شناسایی ضعف‌های امنیتی است.

نسبیت اسمیت اعلام کرده که برای انجام این بررسی‌ها از نسخه‌های مصرف‌کننده این مدل‌ها و یک لپ‌تاپ استفاده کرده است. به گفته او، بسیاری از مشکلات شناسایی‌شده با انجام یک ارزیابی معمول سلامت زیرساخت فناوری اطلاعات نیز قابل‌کشف بودند.

این موضوع بار دیگر توجه‌ها را به تأثیر هوش مصنوعی بر امنیت سایبری جلب می‌کند. ابزارهای هوشمند می‌توانند سرعت شناسایی آسیب‌پذیری‌ها را افزایش دهند و فرایند تحلیل کدهای نرم‌افزاری را برای پژوهشگران ساده‌تر کنند. همین قابلیت‌ها می‌توانند در اختیار مهاجمان سایبری نیز قرار بگیرند و شناسایی نقاط ضعف زیرساخت‌ها را برای آن‌ها آسان‌تر کنند.

چالش دولت‌ها در انتشار عمومی کدهای نرم‌افزاری

پس از افزایش توانایی ابزارهای هوش مصنوعی در شناسایی آسیب‌پذیری‌ها، بحث درباره ادامه انتشار عمومی کدهای نرم‌افزاری در نهادهای دولتی بریتانیا جدی‌تر شده است. دولت این کشور حدود یک دهه است که با هدف افزایش شفافیت و امکان استفاده مجدد از نرم‌افزارهای توسعه‌یافته با بودجه عمومی، بخشی از کدهای خود را به‌صورت عمومی منتشر می‌کند.

در همین زمینه، گزارش‌هایی درباره دستور وزارت بهداشت و خدمات اجتماعی بریتانیا (NHS) در ماه مه برای فاصله گرفتن تیم‌های فناوری از کدهای متن‌باز منتشر شده است.

با این حال، نسبیت اسمیت معتقد است محدود کردن انتشار کدها بدون برطرف کردن آسیب‌پذیری‌های موجود، می‌تواند شرایط امنیتی را دشوارتر کند. به باور او، مهاجمان ممکن است نسخه‌های قبلی مخازن کد را در اختیار داشته باشند و پنهان کردن نسخه‌های جدید مانع دسترسی آن‌ها به اطلاعات پیشین نمی‌شود.

این پژوهش بار دیگر نشان می‌دهد ضعف در نگهداری و مدیریت زیرساخت‌های نرم‌افزاری می‌تواند امنیت اطلاعات سازمان‌های دولتی را تهدید کند؛ موضوعی که با گسترش ابزارهای هوش مصنوعی و افزایش سرعت شناسایی آسیب‌پذیری‌ها اهمیت بیشتری پیدا کرده است.