A Microsoft mesterséges intelligencia kutatói véletlenül 38 TB adatot hoztak nyilvánosságra

[hirdetés_1]

A The Hacker News szerint a Wiz Research – egy felhőbiztonsági startup – nemrégiben adatszivárgást fedezett fel a Microsoft AI GitHub adattárában, amely állítólag véletlenül került nyilvánosságra egy nyílt forráskódú betanítási adatcsoport közzétételekor.

A kiszivárgott adatok között szerepel két korábbi Microsoft-alkalmazott munkaállomásának biztonsági mentése titkos kulcsokkal, jelszavakkal és több mint 30 000 belső Teams-üzenettel.

A „robust-models-transfer” nevű adattár mostantól elérhetetlen. Mielőtt eltávolították, egy 2020-as kutatási cikkhez kapcsolódó forráskódot és gépi tanulási modelleket tartalmazott.

Wiz szerint az adatvédelmi incidens a SAS tokenek sebezhetősége miatt történt, amely az Azure azon funkciója, amely lehetővé teszi a felhasználók számára olyan adatok megosztását, amelyeket nehéz nyomon követni és nehezen visszavonni. Az incidenst 2023. június 22-én jelentették a Microsoftnak.

Ennek megfelelően a tárház README.md fájlja arra utasította a fejlesztőket, hogy töltsenek le modelleket egy Azure Storage URL-címről, akaratlanul is hozzáférést biztosítva a teljes tárfiókhoz, így további privát adatokat téve ki.

A Wiz kutatói szerint a túlzott hozzáférés mellett a SAS token is rosszul volt konfigurálva, így teljes hozzáférést biztosított az olvasás helyett. Ha ezt kihasználják, a támadó nemcsak megtekintheti, hanem törölheti és felülírhatja a tárfiókban lévő összes fájlt.

A jelentésre válaszul a Microsoft közölte, hogy a vizsgálat nem talált bizonyítékot arra, hogy ügyféladatok kerültek volna veszélybe, és az incidens miatt más belső szolgáltatások sem voltak veszélyben. A vállalat hangsúlyozta, hogy az ügyfeleknek nem kell semmilyen intézkedést tenniük, hozzátéve, hogy visszavonták a SAS tokeneket, és blokkolták a tárfiókokhoz való összes külső hozzáférést.

A hasonló kockázatok mérséklése érdekében a Microsoft kibővítette titkos keresési szolgáltatását, hogy az olyan SAS tokeneket is keressen, amelyek korlátozott vagy túlzott jogosultságokkal rendelkezhetnek. Emellett azonosított egy hibát a keresési rendszerében, amely hamisan jelölte meg a SAS URL-eket a tárházban.

A kutatók szerint a SAS fióktokenek biztonságának és irányításának hiánya miatt az óvintézkedés az, hogy kerüljék azok külső megosztásra való használatát. A tokenek generálási hibái könnyen figyelmen kívül hagyhatók, és érzékeny adatokat tehetnek közzé.

Korábban, 2022 júliusában a JUMPSEC Labs bejelentett egy fenyegetést, amely ezeket a fiókokat kihasználva hozzáférhet vállalkozásokhoz.

Các nhà nghiên cứu AI tại Microsoft vô tình lộ 38TB dữ liệu - Ảnh 1. — Bizalmas fájlokat találtak a Wiz Research biztonsági mentéseiben

Ez a Microsoft legújabb biztonsági incidense, két héttel ezelőtt a vállalat azt is bejelentette, hogy Kínából származó hackerek behatoltak és elloptak nagy biztonságú kulcsokat. A hackerek elfoglalták a vállalat egyik mérnökének fiókját, és hozzáfértek a felhasználó digitális aláírás-archívumához.

A legújabb incidens jól mutatja a mesterséges intelligencia nagy rendszerekbe való beépítésének lehetséges kockázatait – mondja Ami Luttwak, a Wiz műszaki igazgatója. Az adattudósok és mérnökök azonban versenyt futnak az új mesterséges intelligencia-megoldások bevezetésével, így a feldolgozott hatalmas adatmennyiség további biztonsági ellenőrzéseket és védelmi intézkedéseket igényel.

Mivel sok fejlesztőcsapatnak hatalmas mennyiségű adattal kell dolgoznia, ezeket az adatokat meg kell osztania kollégáival, vagy együtt kell működnie nyilvános, nyílt forráskódú projekteken, az olyan eseteket, mint a Microsofté, egyre nehezebb nyomon követni és elkerülni.

Hozzászólás (0)