安全公司 ControlPlane 的研究员克里斯・内斯比特 - 史密斯，使用 Anthropic 的 Claude Opus、Sonnet 消费级 AI 模型，在笔记本电脑上直接扫描英国政府公开托管在 GitHub 上的代码仓库，一共排查 33 家公共机构、349 个代码仓库，最终找出上百个高危安全漏洞，近三分之二仓库都存在安全缺陷，漏洞类型以硬编码密钥、泄露账号凭据、权限配置过大、缺少访问校验这类基础问题为主，一旦被恶意攻击者利用，存在敏感政务、人事数据泄露，甚至遭遇勒索攻击的风险。英国政府持续多年把公共资金开发的代码对外开源，初衷是提升政务透明度、方便不同部门复用代码、降低开发成本，但很多部门预算紧张，缺少常态化安全审计和代码扫描流程，很多低级漏洞没能在发布前拦截。研究员先通过 AI 批量读取、解析公开代码，快速定位可疑代码片段，再人工复核确认风险，发现问题后提前向对应机构提交漏洞报告，多数机构收到通知后快速完成修复，官方称暂未发现漏洞被黑客利用、数据外泄的情况。这件事也体现出普通消费级 AI 已经可以成为低成本代码审计工具，不需要专业重型安全扫描平台，就能在开源代码里批量挖出大量基础安全隐患。
一、本次扫描基础信息表
| 项目 | 详情 |
|---|---|
| 研究员 | Chris Nesbitt-Smith（ControlPlane） |
| 使用 AI 模型 | Claude Opus、Claude Sonnet（消费版） |
| 扫描载体 | 普通笔记本电脑 |
| 扫描范围 | 33 个英国公共机构、349 个公开代码仓库 |
| 存在漏洞仓库占比 | 约三分之二 |
| 漏洞总量 | 上百个高危漏洞 |
| 托管平台 | GitHub |
| 典型涉事机构 | 规划监察局、卫生与社会关怀部、内政部、地方政府部门 |
二、漏洞类型清单
- 凭据硬编码泄露：账号密钥、Token、Microsoft Entra ID 凭证直接写进代码提交公开仓库
- 权限超标：服务账号、凭据配置过高权限，一旦泄露可读写大量内部文档、员工云盘
- 缺少身份校验：接口、自动化流程缺少访问控制，可被外部人员触发执行
- 不安全默认配置：代码上线使用宽松、不安全的默认参数
- 密钥未及时回收：凭据发现后没有彻底撤销、轮换，长期有效持续暴露风险
三、最严重单起漏洞说明
英国规划监察局仓库误提交一组 Microsoft Entra ID 凭据，凭据没有设置过期时间，权限覆盖全部 SharePoint 站点、员工 OneDrive 网盘，包含人事档案、规划案件涉密材料。机构安全监控在研究员测试时就捕捉到异常，收到漏洞报告后 20 分钟内完成修复，确认没有数据被盗。
四、事件带来的行业启示
- 开源不等于安全：公开代码会带来透明度，但必须配套提交前代码扫描、密钥检测流程
- AI 降低漏洞挖掘门槛：普通消费级大模型就能批量筛查代码，攻击方同样可以用这套方法
- 很多高危漏洞属于基础失误，传统常规安全巡检就能拦截，根源是运维、审计资源不足
- 漏洞披露流程很关键：研究员采用负责任披露，先通知机构修复，再对外公开信息
【相关 FAQ】
问题 1：安全研究员借助 AI 工具扫描英国政府公开代码，查出上百个高危漏洞，用的是什么 AI 工具？
回答 1：安全研究员借助 AI 工具扫描英国政府公开代码，查出上百个高危漏洞，研究员使用的是 Anthropic Claude Opus 和 Claude Sonnet 消费版模型，直接在普通笔记本电脑上运行扫描，并非专业重型安全平台。
问题 2：安全研究员借助 AI 工具扫描英国政府公开代码，查出上百个高危漏洞，这次扫描一共查了多少政府代码仓库？
回答 2：安全研究员借助 AI 工具扫描英国政府公开代码，查出上百个高危漏洞，本次一共扫描 33 家英国公共机构的 349 个公开代码仓库，大约三分之二仓库都检出安全缺陷。
问题 3：安全研究员借助 AI 工具扫描英国政府公开代码，查出上百个高危漏洞，最严重的漏洞会造成什么后果？
回答 3：安全研究员借助 AI 工具扫描英国政府公开代码，查出上百个高危漏洞，最严重的是规划监察局泄露的高权限 Entra ID 凭据，一旦被利用，可读写全部 SharePoint、员工 OneDrive，读取人事、规划案件敏感材料，存在勒索、数据窃取风险。
问题 4：安全研究员借助 AI 工具扫描英国政府公开代码，查出上百个高危漏洞，漏洞有没有被黑客提前利用、发生数据泄露？
回答 4：安全研究员借助 AI 工具扫描英国政府公开代码，查出上百个高危漏洞，研究员采用负责任披露方式，提前告知机构，机构快速处置，官方核查后确认没有发现漏洞被攻击者利用、没有发生数据泄露。
【参考资料】
[2026-11-11]（Open code isn’t the problem: experts on the “god-tier” flaws exposed across UK government repositories）IT Security Guru
[2026-11-10]（借助 AI 工具，安全研究员在英国政府公开代码中发现上百个高危漏洞）IT 之家
[2026-11-10]（AI 扫描英国政府公开代码发现百余严重漏洞）腾讯新闻
[2026-11-10]（Un investigador usó IA de Anthropic para hallar más de 100 fallas graves en el código del gobierno británico）Infobae
[2026-11-10]（Security Researcher Finds Over 100 Vulnerabilities in UK Government Code）SiTech Blog
【免责声明】
本文仅为安全研究员借助 AI 工具扫描英国政府公开代码查出高危漏洞事件的资讯整理；漏洞数量、风险描述来自研究员公开披露与媒体报道，漏洞最终风险定级、修复情况以英国各涉事机构官方公告为准；AI 代码审计仅为辅助手段，不能替代专业安全团队完整渗透测试；本文不构成网络安全操作、代码审计指导。