Detectan más de 100 fallas graves en código abierto del gobierno británico con IA

Un investigador de seguridad identificó más de 100 fallas graves en el código abierto que publican 33 organismos públicos del Reino Unido, tras analizar 349 repositorios con modelos de inteligencia artificial de Anthropic.¹ Las vulnerabilidades afectaban a cerca de dos tercios de los repositorios revisados y ponían en riesgo datos sensibles y servicios clave.¹

Cómo se detectaron las vulnerabilidades

Chris Nesbitt-Smith, de la empresa ControlPlane, utilizó los modelos Opus y Sonnet de Claude, desarrollados por Anthropic, para analizar el código abierto disponible en línea desde una computadora portátil y con versiones accesibles para cualquier usuario.¹ El investigador señaló que muchas de las fallas podrían haberse detectado en una revisión informática rutinaria y que no requerían técnicas sofisticadas de ciberataque.¹

El caso más grave: credencial expuesta en la Inspección de Planificación

La Inspección de Planificación de Inglaterra subió por error a GitHub una credencial de acceso que no tenía fecha de vencimiento y permitía un acceso muy amplio a servicios internos, como sitios de SharePoint y cuentas privadas de OneDrive de empleados, incluyendo registros de recursos humanos.¹ Según Nesbitt-Smith, la clave también abría bibliotecas con pruebas protegidas por orden legal para investigaciones y apelaciones de planificación, lo que la hacía "particularmente peligrosa".¹ El organismo corrigió la falla 20 minutos después de ser notificado y afirmó que no hubo robo de datos.¹

Otras fallas y la respuesta de los organismos

Se detectaron vulnerabilidades en servicios del Departamento de Educación de Inglaterra, como un portal de compras escolares, un sistema de solicitudes para docentes con datos personales y el registro principal de proveedores de formación financiados por el Estado.¹ En Escocia, un portal de datos abiertos tenía una clave de administrador sin fecha de vencimiento visible en el código descargado por cualquier visitante, permitiendo acceso a funciones de administración sin iniciar sesión.¹ El portal escocés fue retirado tras el aviso, y las demás organizaciones resolvieron los problemas reportados.¹

Debate sobre el código abierto y la gestión interna

El gobierno británico publica de forma abierta el código financiado con dinero público desde hace unos diez años, abarcando departamentos como Salud, Interior y autoridades locales.¹ Amanda Brock, directora ejecutiva de OpenUK, afirmó que el problema radica en la gestión interna y no en el modelo de código abierto.¹ Algunos departamentos han considerado dejar de publicar código abierto por preocupaciones de seguridad, y el NHS habría pedido en mayo a sus equipos abandonar este modelo.¹ Nesbitt-Smith advirtió que cerrar los repositorios sin corregir los errores sería contraproducente, ya que los atacantes podrían conservar copias del código vulnerable.¹

Nota de la Redacción: esta nota se basa en la información disponible al publicarla y se actualizará si otras fuentes aportan más datos.

Fuentes

Texto elaborado por la Redacción de Columna Digital a partir de estas fuentes:

1. Infobae ↩

Redacción Columna Digital. Es posible que en la preparación de esta nota se hayan usado herramientas de inteligencia artificial para reunir fuentes, procesar datos, corregir o redactar textos, bajo la supervisión del equipo de Redacción.