KI-Forscher bei Microsoft haben versehentlich 38 TB Daten geleakt

[Anzeige_1]

Laut The Hacker News hat Wiz Research – ein Cloud-Sicherheits-Startup – kürzlich ein Datenleck im GitHub-Repository von Microsoft AI entdeckt, das angeblich versehentlich bei der Veröffentlichung einer Gruppe von Open-Source-Trainingsdaten offengelegt wurde.

Zu den durchgesickerten Daten gehört ein Backup der Arbeitsplätze zweier ehemaliger Microsoft-Mitarbeiter mit geheimen Schlüsseln, Passwörtern und mehr als 30.000 internen Nachrichten der Teams-App.

Das Repository mit dem Namen „robust-models-transfer“ ist derzeit nicht mehr zugänglich. Vor seiner Entfernung enthielt es Quellcode und Machine-Learning-Modelle zu einer Forschungsarbeit aus dem Jahr 2020.

Wiz erklärte, der Datenverstoß sei auf ein übermäßig anfälliges SAS-Token zurückzuführen, eine Funktion in Azure, die es Benutzern ermöglicht, Daten zu teilen, die sowohl schwer zu verfolgen als auch schwer zu widerrufen sind. Der Vorfall wurde Microsoft am 22. Juni 2023 gemeldet.

Dementsprechend wurden Entwickler in der README.md-Datei des Repositorys angewiesen, Modelle von einer Azure Storage-URL herunterzuladen, wodurch unbeabsichtigt Zugriff auf das gesamte Speicherkonto gewährt und somit weitere private Daten offengelegt wurden.

Zusätzlich zu den übermäßigen Zugriffen war der SAS-Token auch falsch konfiguriert und ermöglichte volle Kontrolle statt nur Lesezugriff, so die Forscher von Wiz. Ein Angriff könnte bedeuten, dass ein Angreifer alle Dateien im Speicherkonto nicht nur einsehen, sondern auch löschen und überschreiben könnte.

Microsoft erklärte in Reaktion auf den Bericht, die Untersuchung habe keine Hinweise auf die Offenlegung von Kundendaten ergeben, und auch keine anderen internen Dienste seien durch den Vorfall gefährdet. Das Unternehmen betonte, dass Kunden nichts unternehmen müssten, und erklärte, man habe SAS-Token widerrufen und sämtliche externen Zugriffe auf Speicherkonten blockiert.

Um ähnliche Risiken zu minimieren, erweiterte Microsoft seinen geheimen Scan-Dienst, um nach SAS-Token mit möglicherweise eingeschränkten oder übermäßigen Berechtigungen zu suchen. Außerdem wurde ein Fehler im Scan-System identifiziert, der SAS-URLs im Repository als falsch positiv kennzeichnete.

Die Forscher weisen darauf hin, dass aufgrund mangelnder Sicherheit und Governance für SAS-Kontotoken die Vorsichtsmaßnahme darin besteht, diese nicht für die externe Freigabe zu verwenden. Fehler bei der Tokengenerierung können leicht umgangen werden und sensible Daten offenlegen.

Bereits im Juli 2022 hatte JUMPSEC Labs eine Bedrohung offengelegt, die diese Konten ausnutzen könnte, um Zugriff auf Unternehmen zu erhalten.

Các nhà nghiên cứu AI tại Microsoft vô tình lộ 38TB dữ liệu - Ảnh 1. — Wiz Research hat vertrauliche Dateien im Backup gefunden

Dies ist die jüngste Sicherheitslücke bei Microsoft. Bereits vor zwei Wochen gab das Unternehmen bekannt, dass Hacker aus China in das System eingedrungen waren und Hochsicherheitsschlüssel gestohlen hatten. Die Hacker übernahmen das Konto eines Ingenieurs des Unternehmens und griffen auf den digitalen Signaturspeicher des Benutzers zu.

Der jüngste Vorfall zeige die potenziellen Risiken der Einführung von KI in großen Systemen, sagt Ami Luttwak, CTO von Wiz. Er betont, dass KI enormes Potenzial für Technologieunternehmen biete. Da Datenwissenschaftler und Ingenieure jedoch um die Implementierung neuer KI-Lösungen wetteifern, erfordern die enormen Datenmengen, die sie verarbeiten, zusätzliche Sicherheitskontrollen und -vorkehrungen.

Da viele Entwicklungsteams mit riesigen Datenmengen arbeiten, diese Daten mit ihren Kollegen teilen oder an öffentlichen Open-Source-Projekten zusammenarbeiten müssen, werden Fälle wie der von Microsoft immer schwieriger zu verfolgen und zu vermeiden.

[Anzeige_2]
Quellenlink