IA revela más de 100 fallas en código gubernamental británico

Un investigador de ciberseguridad identificó más de 100 vulnerabilidades graves en código informático publicado por instituciones gubernamentales del Reino Unido, mediante el apoyo de herramientas de inteligencia artificial disponibles comercialmente.

Chris Nesbitt-Smith, especialista de la empresa ControlPlane, examinó 349 repositorios de código pertenecientes a 33 organismos públicos y encontró problemas de seguridad en aproximadamente dos tercios de ellos.

Los resultados fueron difundidos por WIRED el 10 de noviembre, después de que los hallazgos se comunicaran a las instituciones afectadas durante los meses anteriores.

La investigación mostró que algunas fallas podían exponer información sensible o permitir acciones no autorizadas dentro de servicios públicos digitales.

Sin embargo, el descubrimiento de una vulnerabilidad no significa que haya sido aprovechada por delincuentes informáticos ni que se haya producido una filtración de datos.

Utilizó inteligencia artificial para revisar código público

Nesbitt-Smith recurrió a los modelos Claude Opus y Sonnet para analizar programas informáticos publicados por distintas instituciones británicas.

Un repositorio de código es un espacio donde se almacenan los archivos y las instrucciones que permiten desarrollar y mantener aplicaciones digitales.

En el Reino Unido, numerosas instituciones publican parte de ese código para facilitar la transparencia, la colaboración y la reutilización de herramientas financiadas con recursos públicos.

El investigador utilizó versiones comerciales de inteligencia artificial desde una computadora portátil, sin depender de equipos de procesamiento especializados.

Según explicó a WIRED, varias de las vulnerabilidades detectadas también pudieron identificarse mediante revisiones de seguridad convencionales.

Esto significa que el problema no necesariamente estaba relacionado con ataques de gran sofisticación, sino con errores de configuración, permisos excesivos y prácticas insuficientes de mantenimiento.

Una falla crítica permitió detectar riesgos sobre archivos oficiales

Uno de los casos más delicados se encontró en la Planning Inspectorate, organismo público encargado de asuntos de planificación territorial en Inglaterra.

ControlPlane identificó credenciales de acceso que habían quedado expuestas en un repositorio público de GitHub.

Aunque el archivo había sido retirado de la versión visible del proyecto, las credenciales continuaban siendo recuperables a través de registros anteriores y seguían activas.

De acuerdo con el informe técnico, esas credenciales podían permitir un acceso de lectura y escritura mucho más amplio del necesario para la función original del programa.

Entre los sistemas potencialmente expuestos se encontraban documentos almacenados en SharePoint, cuentas de OneDrive del personal y archivos relacionados con recursos humanos y procedimientos administrativos.

La vulnerabilidad fue clasificada como crítica por ControlPlane debido al alcance de los permisos.

La institución afirma que no hubo filtración de información

La Planning Inspectorate informó que sus mecanismos de vigilancia detectaron la actividad del investigador en agosto y que su equipo de ciberseguridad ya atendía el incidente cuando recibió la notificación de ControlPlane.

Según la institución, la credencial expuesta fue revocada aproximadamente 20 minutos después del reporte formal.

La dependencia también aseguró que verificó que no se hubiera producido una filtración de datos.

Posteriormente, revisó sus procedimientos y otros repositorios para reducir la posibilidad de que se repitiera una situación similar.

Este caso muestra la diferencia entre identificar una vulnerabilidad y confirmar un ataque que haya comprometido información.

Aunque existía un riesgo importante, la institución sostiene que no se registró una pérdida de datos.

También encontraron problemas en servicios educativos

La revisión alcanzó proyectos del Departamento de Educación británico.

Entre ellos se encontraba una plataforma utilizada por escuelas para solicitar apoyo en procesos de contratación y adquisición de servicios.

ControlPlane encontró un problema de autorización que, bajo determinadas condiciones, podía permitir modificar solicitudes sin contar con los permisos correspondientes.

Otro hallazgo involucró un servicio de solicitudes de reconocimiento profesional para docentes, donde el código presentaba una debilidad en la vinculación de cuentas de acceso.

También se detectaron fallas en un registro de proveedores de formación y aprendizaje profesional financiados por el gobierno.

De acuerdo con los informes técnicos de ControlPlane, los problemas reportados fueron atendidos por el Departamento de Educación.

En Escocia, la investigación identificó además una vulnerabilidad en un portal gubernamental de datos abiertos que podía comprometer funciones administrativas.

¿Publicar el código representa un riesgo?

Los hallazgos reavivaron el debate sobre la conveniencia de mantener públicamente disponibles los programas informáticos desarrollados por instituciones gubernamentales.

Algunas preocupaciones se relacionan con la creciente capacidad de la inteligencia artificial para examinar grandes cantidades de código y encontrar debilidades con mayor rapidez.

Sin embargo, especialistas en software abierto consideran que ocultar los repositorios no corrige automáticamente los errores de seguridad.

Una vulnerabilidad puede continuar existiendo aunque su código deje de estar disponible al público.

Además, los investigadores independientes utilizan esos materiales para identificar problemas y comunicarlos a las organizaciones responsables.

El caso de la Planning Inspectorate ilustra un problema de administración de credenciales y permisos, no una demostración de que publicar código sea, por sí mismo, inseguro.

¿Por qué importa?

Las instituciones públicas utilizan plataformas digitales para administrar trámites, expedientes, registros y servicios que involucran información personal.

Una falla de seguridad puede afectar la confidencialidad de esos datos o permitir modificaciones no autorizadas en los sistemas.

La investigación británica demuestra que herramientas de inteligencia artificial accesibles para especialistas pueden acelerar la identificación de vulnerabilidades que anteriormente requerían revisiones manuales más prolongadas.

Para México, el caso resulta relevante como referencia para la seguridad de plataformas gubernamentales, instituciones educativas y servicios digitales que manejan información de los ciudadanos.

Esto no significa que se hayan encontrado las mismas vulnerabilidades en sistemas mexicanos, sino que plantea la importancia de revisar periódicamente el código, las credenciales y los permisos de acceso.

¿Qué observar?

Uno de los principales aspectos será conocer si las instituciones británicas amplían sus auditorías de seguridad con herramientas de inteligencia artificial.

También será importante observar las medidas para evitar la publicación accidental de credenciales y corregir permisos excesivos dentro de aplicaciones oficiales.

Otro punto será el debate sobre el código público y la responsabilidad de los organismos gubernamentales de mantenerlo actualizado y protegido.

El caso demuestra que la inteligencia artificial puede ayudar a descubrir problemas importantes antes de que sean aprovechados por terceros.

Sin embargo, el beneficio real dependerá de que las instituciones respondan a los hallazgos, corrijan sus sistemas y mantengan controles de seguridad permanentes.