Un investigador usó IA de Anthropic para hallar más de 100 fallas graves en el código del gobierno británico

Un investigador de seguridad encontró más de 100 vulnerabilidades graves en código que el gobierno del Reino Unido publica abierto en internet, según informó Wired. Chris Nesbitt-Smith, de la empresa ControlPlane, revisó 349 repositorios de código de 33 organizaciones públicas y halló fallas en cerca de dos tercios de ellos.

Nesbitt-Smith usó los modelos Opus y Sonnet de Claude, de Anthropic, en una computadora portátil y con versiones disponibles para cualquier usuario. Dijo a Wired que muchos de los problemas habrían salido a la luz en una revisión informática de rutina: “Nada de esto tiene el nivel de sofisticación que preocupa a los medios generales en materia de ciberataques”.

El caso más grave fue el de la Inspección de Planificación (Planning Inspectorate), el organismo que tramita asuntos de uso del suelo en Inglaterra. Había subido por error a GitHub, un sitio donde se comparte código, una credencial de acceso, y no la eliminó por completo.

Según el investigador, la credencial no parecía vencer y daba un acceso muy amplio, lo que la hacía “particularmente peligrosa”. Con ella se habría podido leer y modificar todos los sitios de SharePoint y las cuentas privadas de OneDrive de los empleados (servicios de Microsoft para guardar archivos), incluidos registros de recursos humanos.

El organismo dice que lo corrigió en 20 minutos

La clave también habría abierto bibliotecas con pruebas protegidas por orden legal para investigaciones y apelaciones de planificación. “La opción de infectar todo con un programa que cifra los datos o de robarlos estaba ahí”, dijo Nesbitt-Smith.

Un portavoz de la Inspección de Planificación respondió a Wired que sus herramientas de vigilancia detectaron la actividad del investigador en agosto y que ya trataba el hecho como un incidente informático cuando ControlPlane se comunicó. Afirmó que corrigió la falla 20 minutos después del aviso y que comprobó que no hubo robo de datos.

Amanda Brock, directora ejecutiva de OpenUK, un grupo sin fines de lucro del sector, sostuvo que el problema no es del código abierto sino de la gestión interna: “Esos datos quedaron expuestos por no seguir un buen proceso”.

Otras fallas aparecieron en el Departamento de Educación de Inglaterra. Wired menciona un servicio de compras que usan las escuelas, un servicio de solicitudes de docentes con datos personales, títulos, historial laboral y documentos de identidad, y el principal registro de proveedores de formación y aprendizaje financiados por el Estado.

Además, otra falla afectaba a un portal de datos abiertos del gobierno de Escocia. ControlPlane explicó en su informe que una clave de administrador sin fecha de vencimiento había quedado dentro del código que se descarga al abrir la página, de modo que cualquier visitante podía leerla y usar las funciones de administración sin iniciar sesión.

Cerrar el código no resolvería el problema

El gobierno británico publica de forma abierta el código que produce con dinero público desde hace unos diez años, según Wired. Eso incluye al Departamento de Salud y Asistencia Social, al Ministerio del Interior y a autoridades locales. La revista añade que los recortes de presupuesto llevaron a varios departamentos a descuidar el mantenimiento de su infraestructura tecnológica.

Wired recuerda que hay voces a favor de dejar de publicar código ahora que la IA acelera la búsqueda de fallas, y que el servicio público de salud (NHS) habría ordenado en mayo a sus equipos abandonar el código abierto por esas dudas de seguridad.

Nesbitt-Smith advirtió que cerrar los repositorios sin arreglar antes los errores sería el “peor escenario”. Es probable, dijo, que un atacante ya tenga copias de ese código y conserve el acceso, y que cerrarlo atraiga más atención sobre los puntos débiles.

El portal escocés se dio de baja de forma definitiva tras el aviso: ControlPlane lo reportó el 23 de junio por el programa de divulgación de fallas del gobierno de Escocia y el dueño del sistema lo retiró el 25 de junio, al concluir que ya no hacía falta. Wired informó que las demás organizaciones también resolvieron los problemas.