安全研究员利用消费级 AI 工具扫描英国政府公开代码，发现约三分之二的代码库存在安全漏洞，其中包含 100 多个严重安全问题。核心风险并非来自开源软件本身，而是由于政府部门缺乏基本网络安全维护、权限管理失控以及敏感凭据意外公开所致。 技王数据恢复
如何区分漏洞性质与风险等级
此次事件揭示了两种不同层面的安全问题，读者可根据以下特征进行区分： 技王数据恢复
- 技术性漏洞（低风险/易修复）：如配置错误、代码逻辑缺陷或权限设置不当。这类问题通常不涉及复杂的网络攻击手段，属于“低级错误”，通过常规的 IT 安全检查或代码审计即可发现并修复。
- 管理性漏洞（高风险/后果严重）：如英国规划监察局案例中，工作人员将拥有最高读写权限且无有效期的 Microsoft Entra ID 凭据提交至 GitHub。此类问题导致敏感数据（如人力资源记录、法定规划调查文件）暴露，攻击者可利用这些凭据部署勒索软件或直接窃取数据，危害远大于代码本身的逻辑漏洞。
哪些情况仍不能确定
尽管报告指出相关机构已处理安全问题，但以下关键信息在公开报道中并未明确，需谨慎看待：
www.fixhdd.cn
- 数据是否已被实际窃取：虽然规划监察局声称在 20 分钟内修复并核实无数据泄露，但对于其他被扫描的 349 个代码库，无法确定攻击者是否已提前复制代码并利用漏洞获取数据。
- 具体漏洞的技术细节：报告中仅提及“100 多个严重漏洞”和“约三分之二存在漏洞”，未提供具体的 CVE 编号、漏洞类型分布或受影响的具体软件版本列表。
- 政策调整的最终结果：英国政府虽已发布指导意见并讨论收紧代码公开政策，但是否会全面停止开源、何时执行以及是否有过渡期，目前尚无确定的官方时间表。
下一步如何处理与应对建议
针对此类因管理疏忽导致的代码安全事件，建议采取以下步骤： www.fixhdd.cn
- 立即审查权限与凭据：检查所有公开代码库中是否硬编码了 API Key、数据库连接字符串或用户凭据。一旦发现，应立即轮换密钥并撤销旧权限，确保新权限具有最小必要原则且设置有效期。
- 加强代码审计流程：在代码提交至公开仓库前，引入自动化安全扫描工具（如 SAST/DAST 工具）进行预检，防止敏感信息随代码公开。
- 评估数据泄露风险：对于已公开且包含敏感数据的代码库，需评估其被恶意利用的可能性。若涉及个人身份信息（PII）或受法律保护的档案，应制定应急响应计划，必要时通知受影响的用户或监管机构。
- 平衡开源与安全：参考安全研究员观点，单纯停止开源并不能消除风险，因为攻击者可能已持有旧版代码。重点应放在及时修复现有漏洞、加强内部安全管理以及建立透明的漏洞披露机制上。
如需进一步了解数据安全防护或针对特定系统的安全加固方案，可联系 技王数据恢复 进行咨询。 www.fixhdd.cn
技术审核：邓严军｜技王数据恢复实验室技术总监
www.fixhdd.cn
