AI phát hiện hàng loạt lỗ hổng và thông tin xác thực trong mã nguồn chính phủ Anh

Nghiên cứu của ControlPlane cho thấy hai phần ba trong số 349 kho mã nguồn được quét tại 33 tổ chức khu vực công ở Anh có lỗ hổng hoặc thông tin xác thực bị lộ. Nghiên cứu sử dụng Claude Opus và Sonnet để hỗ trợ rà soát mã nguồn công khai, qua đó làm nổi bật rủi ro khi bí mật vận hành bị đưa vào quy trình phát triển phần mềm.

Từ kho mã nguồn đến quyền truy cập tenant

Một trường hợp được nêu là thông tin xác thực Microsoft Entra ID của Planning Inspectorate vẫn có thể xem được trên GitHub trong 18 tháng. Theo ControlPlane, một yêu cầu dùng token đã xác nhận thông tin này còn hoạt động và có quyền đọc, ghi trên toàn bộ tenant Microsoft 365, bao gồm các site SharePoint và tài khoản OneDrive nhân viên.

Tổ chức liên quan cho biết hệ thống giám sát đã phát hiện hoạt động của nhà nghiên cứu, lỗ hổng được xử lý trong 20 phút sau khi báo cáo và không có bằng chứng dữ liệu bị xâm phạm. Tuy vậy, sự cố cho thấy một khóa truy cập bị lộ có thể mở rộng phạm vi ảnh hưởng vượt xa mục đích tích hợp ban đầu.

AI làm giảm chi phí rà soát, không thay thế kỷ luật DevSecOps

Nghiên cứu cũng đề cập khoảng trống kiểm soát truy cập và token API ở các cơ quan khác. Điểm đáng chú ý là nhiều vấn đề không phải lỗ hổng tinh vi, mà là lỗi cơ bản như bí mật nằm trong kho công khai, quyền cấp quá rộng hoặc thiếu cơ chế tự động chặn trước khi mã được phát hành.

AI giúp tăng tốc việc tìm kiếm và phân loại dấu hiệu bất thường, nhưng không tự giải quyết vòng đời bí mật. Doanh nghiệp vẫn cần quét secret trong pipeline, xoay vòng khóa, cấp quyền tối thiểu và thu hồi nhanh khi phát hiện rò rỉ.

Góc nhìn NTEK

Các hệ thống tích hợp và nền tảng số nên coi kho mã nguồn là một phần của bề mặt tấn công. Kiểm tra tự động trước khi commit, quản lý danh tính tập trung và nhật ký truy cập đầy đủ sẽ giảm nguy cơ một token bị lộ biến thành quyền kiểm soát diện rộng.

Nguồn: IT Pro