Governo britânico: 100 vulnerabilidades em código open-source

Um pesquisador de segurança britânico encontrou mais de 100 falhas graves em código publicamente disponível do governo do Reino Unido, incluindo credenciais que teriam dado acesso de leitura e escrita a todos os sites SharePoint e contas OneDrive privadas de funcionários — o que ele chamou de "acesso nível deus". A descoberta reacende o debate sobre a publicação de código aberto no setor público e o papel da inteligência artificial na análise automatizada de vulnerabilidades.

Chris Nesbitt-Smith, pesquisador da ControlPlane, analisou 349 repositórios de código publicados por 33 organizações do setor público britânico, incluindo o Departamento de Saúde e Bem-Estar Social, o Home Office e autoridades locais. Usando versões de nível consumidor dos modelos Claude Opus e Sonnet rodando em um laptop comum, ele encontrou vulnerabilidades em dois terços dos repositórios escaneados.

O caso mais grave

O problema mais sério envolvia o Planning Inspectorate, agência responsável por questões de uso do solo em toda a Inglaterra. A agência tinha publicado acidentalmente credenciais do Microsoft Entra ID em um repositório público do GitHub. Segundo Nesbitt-Smith, as credenciais nunca foram completamente removidas e, combinadas com o fato de que aparentemente não expiravam, davam acesso total — leitura e escrita — a todos os sites SharePoint e contas OneDrive privadas de funcionários, incluindo registros de recursos humanos e materiais sensíveis mantidos sob retenção legal para investigações de planejamento e recursos administrativos.

"A opção de ransomwarear os dados, criptografar tudo ou simplesmente roubar todos os dados, estava amplamente disponível", disse Nesbitt-Smith ao WIRED. "Nada disso tem o nível de sofisticação que a mídia geral se preocupa em relação a ataques cibernéticos. É tudo coisa boba."

A Planning Inspectorate respondeu ao WIRED que suas ferramentas de monitoramento detectaram a atividade de Nesbitt-Smith em agosto e já estavam tratando do incidente. A vulnerabilidade foi corrigida em 20 minutos após o relatório, e a agência verificou que nenhum vazamento de dados ocorreu.

O que mais foi exposto

Além do caso da Planning Inspectorate, o pesquisador encontrou falhas em serviços do Departamento de Educação, incluindo um sistema de compras utilizado por escolas, um serviço de aplicação para professores que continha informações pessoais, qualificações, histórico de emprego e documentos de identidade, e o registro principal da Inglaterra de provedores de formação financiados pelo governo e aprendizados. Um portal de dados abertos do Governo Escocês permitia que qualquer visitante lesse informações de contas administrativas e alterasse a configuração do site.

A maioria dos problemas poderia ter sido detectada por uma verificação de saúde de TI rotineira, segundo o próprio pesquisador. O que mudou foi a capacidade da IA de varrer grandes volumes de código de forma sistemática, identificando padrões de erro que passariam despercebidos em auditorias manuais.

O debate sobre código aberto no setor público

O caso reacende uma discussão que vem ganhando força nos últimos meses: o governo britânico publica publicamente o código que produz com dinheiro público há cerca de uma década, em nome da transparência e da eficiência de custos. Mas agora, com a IA acelerando a descoberta de vulnerabilidades, alguns argumentam que o setor público deveria parar de publicar código-fonte.

O NHS (Serviço Nacional de Saúde britânico) teria ordenado que equipes de tecnologia migrassem para soluções proprietárias em maio, devido a preocupações com segurança relacionadas ao impacto dos modelos de IA. Mas Nesbitt-Smith considera que fechar os repositórios sem corrigir os problemas subjacentes seria o "pior cenário": impediria pesquisadores amigáveis de encontrar as vulnerabilidades, enquanto adversários já poderiam ter espelhado os repositórios e mantido acesso.

"Se você não vai corrigir todos os problemas, provavelmente está atraindo mais atenção para isso ao fechá-los", argumentou. "É como dizer 'aqui há dragões. Não olhem aqui, por favor.'"

Amanda Brock, diretora executiva da organização sem fins lucrativos OpenUK, disse que o caso da Planning Inspectorate "não se trata de código aberto, mas de organização interna ao usar ferramentas públicas". "Os dados foram expostos porque houve uma falha em seguir um bom processo. Isso não é um problema de segurança de código aberto."

O papel da IA na segurança

O caso ilustra um ponto crescente: modelos de IA acessíveis estão democratizando a análise de vulnerabilidades. Qualquer pessoa com um laptop e acesso a modelos consumer-grade pode varrer repositórios públicos e encontrar erros que antes exigiriam equipes dedicadas de auditoria. Para o bem e para o mal.

A questão que fica é se o governo britânico — e os governos de outros países — estarão preparados para responder com a mesma velocidade que a ferramenta que revela os erros.

Fontes: WIRED, ATLABYTE, AI Parabellum

✓ Fontes independentes cruzadas e verificadas antes da publicação