英政府の公開コード、100超の深刻な脆弱性

英国のセキュリティ企業ControlPlaneの研究者クリス・ネスビット＝スミス氏は2026年8月、英政府など33組織が公開するコード基盤349件を調査し、100件を超える深刻な脆弱性を見つけました。約3分の2の基盤に問題があり、教育省やスコットランド政府のシステムにも及んでいました。

最も重大な事例は、土地利用を扱う計画検査局の認証情報が誤ってGitHubに公開され、十分に失効されていなかったことです。研究者によると、その情報はMicrosoft Entra IDを通じ、SharePointや職員のOneDrive、法定調査の証拠資料などに広範な読み書き権限を与えかねませんでした。

計画検査局は監視システムが研究者の活動を検知しており、報告を受けて脆弱性を20分以内に修正したと説明しました。データ流出は確認されず、再発防止のためシステムと手順を強化したとしています。

調査にはClaudeのOpusとSonnetが使われましたが、研究者は一般向けモデルをノートPCで使い、多くの問題は通常のIT点検でも見つけられたと述べています。脆弱性は、学校の調達サービスや教員情報を扱うシステム、政府資金による研修事業者の登録簿などでも確認されました。

英国政府内では、AIによる脆弱性発見の加速を受けて公開コードを閉じるべきだとの議論もあります。しかし研究者は、問題を直さず公開だけを止めれば、外部の調査者が欠陥を見つけにくくなると警告します。公開の是非だけでなく、認証情報の管理や継続的な保守を徹底できるかが問われています。