Un chercheur aidé de Claude trouve plus de 100 failles graves dans le code du gouvernement britannique, dont un accès Microsoft « divin »
Chris Nesbitt-Smith, de ControlPlane, explique à WIRED que des identifiants de la Planning Inspectorate laissés sur GitHub ouvraient la lecture et l'écriture sur tous ses sites SharePoint et les comptes OneDrive du personnel ; l'agence dit avoir corrigé la faille en 20 minutes, sans fuite de données.
Pourquoi c’est important
L'affaire montre à quel point les modèles d'IA rendent la recherche de failles peu coûteuse : Nesbitt-Smith dit avoir utilisé Claude Opus et Sonnet en version grand public sur un ordinateur portable, et qu'un contrôle informatique de routine aurait repéré nombre de problèmes. Le gouvernement britannique publie son code en accès libre depuis une dizaine d'années, notamment à la Santé, au Home Office et dans les collectivités, mais WIRED rapporte que les restrictions budgétaires ont laissé la maintenance de côté. OpenUK parle d'un défaut d'hygiène interne, pas d'un problème d'open source. À suivre : des audits des dépôts publics.
Faits clés
- Plus de 100 failles graves dans du code public du gouvernement britannique
- Trouvées avec les modèles Claude Opus et Sonnet sur un portable
- Des identifiants de la Planning Inspectorate sur GitHub ouvraient Microsoft Entra ID
- Accès à tous les sites SharePoint et aux comptes OneDrive du personnel
- L'agence dit avoir corrigé la faille en 20 minutes
- La Planning Inspectorate affirme qu'aucune fuite n'a eu lieu