Výzkumníci umělé inteligence v Microsoftu omylem zveřejnili 38 TB dat

Podle serveru The Hacker News nedávno objevila společnost Wiz Research, startup zabývající se cloudovou bezpečností, únik dat v repozitáři GitHub společnosti Microsoft AI, který byl údajně omylem odhalen při publikování skupiny open-source tréninkových dat.

Mezi uniklými daty je záloha pracovních stanic dvou bývalých zaměstnanců Microsoftu s tajnými klíči, hesly a více než 30 000 interními zprávami z aplikace Teams.

Repozitář s názvem „robust-models-transfer“ je nyní nepřístupný. Předtím, než byl odstraněn, obsahoval zdrojový kód a modely strojového učení související s výzkumnou prací z roku 2020.

Wiz uvedl, že k úniku dat došlo kvůli zranitelnosti tokenů SAS, což je funkce v Azure, která umožňuje uživatelům sdílet data, která je obtížné sledovat a která je obtížné odvolat. Incident byl společnosti Microsoft nahlášen 22. června 2023.

Soubor README.md repozitáře proto vývojářům nařídil, aby si stáhli modely z adresy URL služby Azure Storage, čímž neúmyslně poskytli přístup k celému účtu úložiště a zveřejnili tak další soukromá data.

Výzkumníci z Wiz uvedli, že kromě nadměrného přístupu byl token SAS také špatně nakonfigurován, což umožňovalo plnou kontrolu, nikoli pouze čtení. Pokud by byl zneužit, útočník by si mohl nejen prohlížet, ale také mazat a přepisovat všechny soubory v účtu úložiště.

V reakci na zprávu společnost Microsoft uvedla, že její vyšetřování nenašlo žádné důkazy o úniku zákaznických dat ani o ohrožení jiných interních služeb v důsledku incidentu. Společnost zdůraznila, že zákazníci nemusí podnikat žádné kroky, a dodala, že odvolala tokeny SAS a zablokovala veškerý externí přístup k úložným účtům.

Aby se zmírnila podobná rizika, společnost Microsoft rozšířila svou službu tajného skenování, aby vyhledávala všechny tokeny SAS, které mohou mít omezená nebo nadměrná oprávnění. Společnost také identifikovala chybu ve svém skenovacím systému, která falešně označovala URL adresy SAS v repozitáři.

Výzkumníci tvrdí, že vzhledem k nedostatečnému zabezpečení a správě tokenů účtů SAS je preventivním opatřením vyhnout se jejich používání pro externí sdílení. Chyby při generování tokenů lze snadno přehlédnout a odhalit citlivá data.

Společnost JUMPSEC Labs již dříve v červenci 2022 oznámila hrozbu, která by mohla zneužít tyto účty k získání přístupu k firmám.

Các nhà nghiên cứu AI tại Microsoft vô tình lộ 38TB dữ liệu - Ảnh 1. — Citlivé soubory nalezené v zálohách společností Wiz Research

Toto je nejnovější bezpečnostní narušení společnosti Microsoft. Před dvěma týdny společnost také odhalila, že hackeři pocházející z Číny pronikli do vysoce zabezpečených klíčů a ukradli je. Hackeři se zmocnili účtu inženýra této společnosti a získali přístup k archivu digitálních podpisů uživatele.

Nejnovější incident ukazuje potenciální rizika začlenění umělé inteligence do velkých systémů, říká Ami Luttwak, technická ředitelka společnosti Wiz CTO. Nicméně, jak se datoví vědci a inženýři snaží implementovat nová řešení umělé inteligence, obrovské množství dat, která zpracovávají, vyžaduje dodatečné bezpečnostní kontroly a ochranná opatření.

Vzhledem k tomu, že mnoho vývojových týmů potřebuje pracovat s obrovským množstvím dat, sdílet tato data se svými kolegy nebo spolupracovat na veřejných open source projektech, je stále obtížnější případy, jako je ten od Microsoftu, sledovat a vyhnout se jim.

Zdrojový odkaz