Claude挖出英国政府代码漏洞 三分之二仓库有漏洞

时间：2026 年 11 月 10 日。《连线》（WIRED）在当天美国东部时间凌晨 2 点发布报道，换算成北京时间是 11 月 10 日下午 3 点前后；IT之家、Infobae、Telset 等媒体的跟进报道集中在同一天。 地点：英国。问题代码来自英国公共部门机构在 GitHub 上公开的代码仓库，涉及 33 个机构，包括英格兰规划监察局（Planning Inspectorate）、英国教育部、苏格兰政府开放数据门户，以及卫生与社会关怀部、内政部和各级地方政府部门。 人物：ControlPlane 安全研究员 Chris Nesbitt-Smith，他用 Anthropic 的 Claude Opus 与 Sonnet 模型完成扫描；非营利行业组织 OpenUK 首席执行官 Amanda Brock 就这算不算开源安全问题给出评价；规划监察局发言人对漏洞修复情况作出回应。 事件详情：Nesbitt-Smith 扫描了 33 个机构的 349 个公共部门代码库，在其中约三分之二发现了安全问题，累计超过 100 个严重漏洞，用的只是跑在笔记本电脑上的 Claude Opus 和 Sonnet 消费级模型。他强调这些并不是主流媒体所担心的那种高复杂度网络攻击，常规 IT 健康检查就能发现。最严重的一起出在规划监察局：该机构工作人员误将登录凭据提交到公开 GitHub 仓库，之后没有彻底撤销，凭据看起来也没有设置有效期。一套完整的 Microsoft Entra ID 凭据，意味着对全部 SharePoint 站点和员工私有 OneDrive 账户的读写权限，研究者称之为 god-tier，其中包括人力资源记录，以及受法律保全要求保护的法定规划调查与上诉证据库。规划监察局称，其网络安全监控工具在 8 月就发现了研究员的扫描活动，并在 ControlPlane 联系之前已按安全事件处理；收到报告后 20 分钟内确认并修复漏洞，同时核实没有发生数据泄露。英国教育部的代码同样有问题，包括学校使用的采购服务、存放个人资料与学历资质、工作经历、身份证明文件的教师申请服务，以及英格兰政府资助培训机构和学徒项目的主要登记系统；苏格兰政府开放数据门户的漏洞则可让任何访问者读取管理账户信息并修改站点配置。上述机构目前均已处理了这些问题。 背景：英国政府大约十年来默认公开用公共资金开发的代码，理由是提高工作透明度、也便于其他机构复用以摊薄成本，这项政策覆盖卫生与社会关怀部、内政部和地方政府部门。但资金收紧让不少部门忽视了技术资产的维护与升级，安全债就此累积。争议的另一个焦点是 AI 正在压低漏洞发现的门槛：今年 5 月，英国国民医疗服务体系（NHS）据报道已要求技术团队逐步停止使用开源代码，理由正是担心 AI 模型加速漏洞挖掘带来的影响；IT之家还提到，英国政府发布了关于公共部门公开代码与漏洞风险的指导意见。Nesbitt-Smith 对此的判断是，只关仓库不修问题才是最糟的结果，因为潜在攻击者很可能早已复制了这些代码库。 影响：对 AI 行业来说，这条消息把模型的能力边界从写代码推到了做安全审计——消费级模型在笔记本上跑一遍，就能在公共代码里挑出上百个真实缺陷，过去逐个仓库人工翻查的活正在变成一次批量任务。对公共部门来说，公开开源代码与公开代码的安全卫生从此没法分开谈：NHS 选择收紧开源，Nesbitt-Smith 反对只关不修，两种主张指向同一件事，该补的是凭据管理和漏洞修复的速度。对普通用户而言，这次没有确认发生数据泄露，被触及的是教师身份资料、员工人力资源记录和规划证据这类高度敏感的数据，一旦未过期的凭据落到别处，代价会很大。 总结：一次用消费级 Claude 模型完成的审计，在英国 349 个公共部门代码库里挑出 100 多个严重漏洞，其中规划监察局那套 god-tier 权限的 Entra ID 凭据最惊险，也在 20 分钟内被修掉。真正值得记住的不是英国政府代码质量有多差，而是 AI 找漏洞这件事的性价比已经高到可以在笔记本上完成。当发现成本趋近于零，公开代码的风险分布就被改写了：漏洞被曝光的速度会快过修复速度，公开与否于是不再是理念问题，而是运维问题。 常见问题： 问：用 Claude 找漏洞靠得住吗？ 答：这次用的是跑在笔记本电脑上的 Opus 和 Sonnet 消费级模型，研究者本人说这些问题常规 IT 体检就能发现，并不涉及复杂的攻击手法。 问：这次有数据泄露吗？ 答：规划监察局称其监控工具 8 月就发现了扫描活动，收到报告后 20 分钟内修复了漏洞，并核实没有发生数据泄露。 参考来源： WIRED 报道原文，含 349 个代码库、33 个机构与规划监察局凭据细节 https://www.wired.com/story/security-flaws-across-uk-government-sites-exposed-god-tier-information/ IT之家中文报道《借助 AI 工具，安全研究员在英国政府公开代码中发现上百个高危漏洞》 https://it.ithome.com/archiver/1/024/865.htm Infobae 西班牙语报道，含扫描范围与所用模型 https://www.infobae.com/tecno/2026/11/10/un-investigador-uso-ia-de-anthropic-para-hallar-mas-de-100-fallas-graves-en-el-codigo-del-gobierno-britanico/ Telset.id 印尼语报道，含规划监察局与苏格兰政府门户细节 https://telset.id/news/kode-publik-inggris-bocor-ai-temuan-celah-di-349-repositori Techbooky 分析文章，说明使用的是消费版 Anthropic Claude 模型 https://www.techbooky.com/ai-audit-finds-serious-flaws-in-uk-government-code/ Cybernoz 转载的 WIRED 全文，便于读者对照 https://cybernoz.com/security-flaws-across-uk-government-sites-exposed-god-tier-information/ 驱动中国中文摘要，含 AI 扫描路径与问题分布 https://app.qudong.com/article/529286.html