安全公司 ControlPlane 研究员克里斯・内斯比特 - 史密斯，使用 Claude Opus、Claude Sonnet 消费级大模型，在笔记本电脑上完成扫描，从英国政府对外公开的源码仓库中找出上百个高危漏洞，这批代码来自内政部、卫生与社会关怀部以及地方政府，是英国为提升透明度、复用代码而对外开源的项目。研究员表示，这些漏洞大多属于基础安全失误，并非复杂新型漏洞，很多问题传统安全审计本就可以发现；背后原因是近年预算紧张，很多部门长期搁置代码安全维护、版本巡检。漏洞风险包括身份认证绕过、敏感信息泄露、远程代码执行，一旦被攻击者利用，会造成公民数据外泄、勒索攻击风险。这套 AI 扫描流程比较简单：拉取政府公开仓库源码，通过大模型逐段做代码审计、识别不安全写法、硬编码密钥、权限控制缺陷；AI 输出漏洞清单后，人工复核确认真实性，再提交给对应部门修复。综合来看，这件事证明普通消费级 AI 就能大幅降低代码审计门槛，同时也暴露了 “开源透明” 和安全运维之间的矛盾：公开代码意味着漏洞对所有攻击者可见，持续安全巡检必不可少。
一、事件基础信息表
| 项目 | 详情 |
|---|---|
| 研究人员 | Chris Nesbitt-Smith（ControlPlane） |
| 使用 AI 模型 | Claude Opus、Claude Sonnet |
| 扫描对象 | 英国政府各部门公开源代码仓库（近 10 年持续对外开源） |
| 涉事机构 | 内政部、卫生与社会关怀部、多地地方政府 |
| 漏洞类型 | 认证绕过、敏感数据泄露、远程代码执行等高危问题 |
| 设备条件 | 普通笔记本电脑，消费级大模型 |
| 核心结论 | 漏洞多为低级安全缺陷，长期缺少安全巡检导致堆积 |
二、英国政府开源政策背景
英国近十年推行公共资金开发代码开源策略，目标两点：
- 政务数字化透明化，让公众监督公共项目；
- 不同政府部门之间复用代码，减少重复开发、节约财政开支。
但政策只解决 “公开”，没有配套常态化强制安全审计机制，预算压缩之后，安全巡检优先被砍掉。
三、AI 代码审计对比传统扫描工具
- 传统 SAST 静态扫描器：基于规则匹配，对业务逻辑、非常规写法识别弱，容易漏业务层面漏洞；
- 本次 AI 审计：理解上下文、业务逻辑，能发现规则库之外的逻辑缺陷；
- 短板：AI 会产生误报，必须人工复核，不能直接自动判定漏洞。
四、典型漏洞场景清单
- 硬编码密钥、数据库密码、API 令牌，提交到公开仓库；
- 权限校验缺失，未做身份校验即可访问敏感接口；
- GitHub Actions 流水线注入漏洞，可执行任意代码；
- 输入过滤缺失，存在命令注入、SQL 注入风险；
- 过期依赖包未升级，已知 CVE 漏洞长期不修复。
五、事件带来的行业启示
- 政务开源不等于安全，公开代码的攻击面会直接放大，必须配套持续安全审计；
- AI 代码审计门槛极低，攻击者也可以用同类模型批量挖掘公开源码漏洞；
- 安全预算压缩带来隐性风险，基础代码维护、依赖升级、定期巡检不能省略；
- 开源项目发布前，要增加 AI 预审 + 人工复核的安全关卡。
六、后续进展
相关部门收到漏洞报告后分批开展修复，目前暂未发现漏洞被利用的证据。英国网络安全相关机构也开始讨论，给政务开源仓库增加强制安全扫描机制。
【相关 FAQ】
问题 1：AI 扫描英国政府公开代码发现百余严重漏洞，研究员用了什么 AI？
回答 1：AI 扫描英国政府公开代码发现百余严重漏洞，研究员使用 Anthropic 的 Claude Opus 和 Claude Sonnet 模型，普通笔记本就可以运行扫描。
问题 2：AI 扫描英国政府公开代码发现百余严重漏洞，这些漏洞是不是非常复杂的新型攻击手段？
回答 2：AI 扫描英国政府公开代码发现百余严重漏洞，研究员说明这些大多属于基础低级安全失误，很多在传统安全检查中就应该被发现，只是长期缺少巡检。
问题 3：AI 扫描英国政府公开代码发现百余严重漏洞，英国政府为什么要把政务代码公开？
回答 3：AI 扫描英国政府公开代码发现百余严重漏洞，英国政府开源代码是为了提升透明度、方便不同部门复用代码，降低政务数字化开发成本。
问题 4：AI 扫描英国政府公开代码发现百余严重漏洞，AI 审计和传统静态扫描工具差别在哪？
回答 4：AI 扫描英国政府公开代码发现百余严重漏洞，传统 SAST 依靠固定规则；大模型能理解代码业务逻辑，更容易发现逻辑类漏洞，但 AI 误报率更高，需要人工复核。
问题 5：AI 扫描英国政府公开代码发现百余严重漏洞，会不会有攻击者利用同类 AI 挖公开源码漏洞？
回答 5：AI 扫描英国政府公开代码发现百余严重漏洞，是的，这类代码审计门槛很低，攻击者同样可以用消费级大模型批量扫描互联网上公开源码，企业和政务开源项目都要重视。
【参考资料】
[2026-11-10] IT 之家，AI 扫描英国政府公开代码检出上百高危漏洞报道
[2026-11-10] 《连线》Wired 采访原文
[2026-06] UK GOV.UK GC3 AI 代码安全试点文档
【免责声明】
本文为本次安全事件资讯整理，漏洞详情、修复进度以英国政府后续披露为准；AI 代码审计存在误报，AI 不能替代专业安全工程师人工渗透测试；本文不构成安全方案定论。