Telset.id – Peneliti keamanan menemukan kerentanan di sekitar dua pertiga dari 349 basis kode publik milik 33 organisasi sektor publik Inggris. Temuan ini muncul setelah Chris Nesbitt-Smith, peneliti dari ControlPlane, memindai repositori kode terbuka menggunakan model AI Claude Opus dan Sonnet, dan hasilnya menunjukkan bahwa banyak masalah sebenarnya bisa dideteksi lewat pemeriksaan IT rutin.
Nesbitt-Smith menggunakan model AI kelas konsumen yang dijalankan di sebuah laptop untuk melakukan pemindaian tersebut. Menurutnya, temuan itu bukan serangan siber canggih, melainkan kesalahan mendasar. “Tidak ada satu pun dari ini yang berada pada tingkat kecanggihan yang dikhawatirkan media umum dalam hal serangan siber,” ujarnya kepada WIRED. “Ini semua hal konyol.”
Pemerintah Inggris sendiri telah sekitar satu dekade menerapkan kebijakan publikasi kode secara terbuka atas alasan transparansi dan efisiensi biaya. Kebijakan ini berlaku di Department of Health and Social Care, Home Office, hingga pemerintah daerah. Namun, tekanan pendanaan membuat departemen mengabaikan pemeliharaan dan peningkatan aset teknologi mereka.
Kredensial Planning Inspectorate Jadi Temuan Paling Serius
Dalam kasus paling serius yang diidentifikasi, Planning Inspectorate—lembaga yang menangani urusan tata guna lahan di Inggris—gagal menghapus kredensial login secara penuh setelah tanpa sengaja mengunggahnya ke repositori publik GitHub. Kredensial tersebut memberikan akses luas dan tampaknya tidak kedaluwarsa, sehingga “membuatnya sangat berbahaya bagi mereka.”
Menurut Nesbitt-Smith, Microsoft Entra ID lengkap itu akan memberikan akses baca dan tulis tingkat “god-tier” ke seluruh situs SharePoint dan akun OneDrive pribadi karyawan, termasuk catatan HR. Akses itu juga mencakup pustaka sensitif yang melindungi bukti dalam legal hold untuk penyelidikan dan banding perencanaan statutori. “Opsi untuk melakukan ransomware terhadap mereka, mengenkripsi semua data, atau sekadar mencuri seluruh data, tersedia secara melimpah,” katanya.
Juru bicara Planning Inspectorate menyatakan alat pemantauan siber mereka langsung mendeteksi aktivitas Nesbitt-Smith pada Agustus dan sudah menanganinya sebagai insiden siber ketika ControlPlane menghubungi. Lembaga itu mengidentifikasi dan memperbaiki kerentanan dalam 20 menit setelah laporan diterima, serta memverifikasi tidak terjadi pelanggaran data. “Kami telah meninjau dan memperkuat sistem serta proses kami untuk mencegah jenis masalah ini terulang,” ujar juru bicara tersebut.
Baca Juga:
Amanda Brock, CEO kelompok industri nirlaba OpenUK, menegaskan bahwa persoalan Planning Inspectorate bukanlah soal open source, melainkan soal housekeeping internal saat menggunakan alat publik. “Data itu terekspos karena kegagalan mengikuti proses yang baik,” tambahnya. “Itu bukan masalah keamanan open source.”
Kerentanan di Kode Department of Education dan Skotlandia
Selain Planning Inspectorate, beberapa kerentanan ditemukan di kode Department of Education. Temuan itu mencakup layanan pengadaan yang digunakan sekolah, layanan aplikasi guru yang memuat data pribadi, kualifikasi, riwayat pekerjaan, dan dokumen identitas, serta register utama penyedia pelatihan dan magang yang didanai pemerintah Inggris.
Nesbitt-Smith juga menemukan kerentanan di portal data terbuka Scottish Government yang memungkinkan pengunjung mana pun membaca informasi akun administratif dan mengubah konfigurasi situs. Organisasi-organisasi tersebut dilaporkan telah menangani masalah itu.
Belakangan muncul argumen agar departemen sektor publik berhenti mempublikasikan kode sumber secara terbuka, menyusul percepatan penemuan kerentanan oleh AI. NHS dilaporkan memerintahkan tim teknologinya beralih dari kode open source pada Mei lalu karena kekhawatiran keamanan atas dampak model AI. Langkah semacam itu menyentuh isu yang lebih luas soal security debt yang menumpuk di lingkungan teknologi organisasi.
Menurut Nesbitt-Smith, menutup akses tanpa segera memperbaiki masalah yang mendasarinya adalah “skenario terburuk” karena menghalangi peneliti seperti dirinya menemukan celah tersebut. Ia juga menilai kemungkinan besar pihak lawan sudah menyalin repositori itu sehingga tetap memiliki akses. “Kecuali Anda akan memperbaiki semua masalahnya, jika ada, Anda mungkin justru menarik lebih banyak perhatian dengan menutupnya,” ujarnya.
Ia menambahkan, “karena Anda seperti berkata, ‘Di sini ada naga. Jangan lihat ke sini, please.'” Pernyataan ini menegaskan bahwa persoalan utama bukan pada keterbukaan kode, melainkan pada disiplin pemeliharaan dan perbaikan aset teknologi publik. Konteks percepatan adopsi AI dalam keamanan juga tercermin dari diskusi soal AI Driven Security di berbagai negara, termasuk investasi yang dilakukan Inggris untuk AI di sektor keamanan.
Komentar
Belum ada komentar.