Badacze sztucznej inteligencji z Microsoftu przypadkowo ujawnili 38 TB danych

Jak podaje serwis The Hacker News , Wiz Research, startup zajmujący się bezpieczeństwem w chmurze, niedawno odkrył wyciek danych w repozytorium GitHub firmy Microsoft AI. Dane te rzekomo zostały ujawnione przypadkowo podczas publikowania grupy danych szkoleniowych typu open source.

Wyciekłe dane obejmują kopię zapasową stacji roboczych dwóch byłych pracowników Microsoftu zawierającą tajne klucze, hasła i ponad 30 000 wewnętrznych wiadomości Teams.

Repozytorium o nazwie „robust-models-transfer” jest obecnie niedostępne. Zanim zostało usunięte, zawierało kod źródłowy i modele uczenia maszynowego powiązane z artykułem badawczym z 2020 roku.

Firma Wiz poinformowała, że ​​do naruszenia danych doszło z powodu luki w zabezpieczeniach tokenów SAS – funkcji platformy Azure, która umożliwia użytkownikom udostępnianie danych, które są trudne do śledzenia i odwołania. Incydent został zgłoszony firmie Microsoft 22 czerwca 2023 roku.

W związku z tym plik README.md repozytorium instruował deweloperów, aby pobierali modele z adresu URL usługi Azure Storage, co nieumyślnie zapewniało dostęp do całego konta magazynu, a tym samym ujawniało dodatkowe prywatne dane.

Badacze z Wiz stwierdzili, że oprócz nadmiernego dostępu, token SAS był również błędnie skonfigurowany, co umożliwiało pełną kontrolę, a nie tylko odczyt. W przypadku wykorzystania luki, atakujący mógłby nie tylko przeglądać, ale także usuwać i nadpisywać wszystkie pliki na koncie magazynu.

W odpowiedzi na raport, Microsoft poinformował, że jego dochodzenie nie wykazało żadnych dowodów na ujawnienie danych klientów, ani że żadne inne usługi wewnętrzne nie zostały zagrożone w wyniku tego incydentu. Firma podkreśliła, że ​​klienci nie muszą podejmować żadnych działań, dodając, że unieważniła tokeny SAS i zablokowała wszelki zewnętrzny dostęp do kont pamięci masowej.

Aby zminimalizować podobne ryzyko, Microsoft rozszerzył swoją tajną usługę skanowania, aby wyszukiwać tokeny SAS z ograniczonymi lub nadmiernymi uprawnieniami. Wykrył również błąd w swoim systemie skanowania, który błędnie oznaczał adresy URL SAS w repozytorium.

Badacze twierdzą, że ze względu na brak bezpieczeństwa i kontroli nad tokenami kont SAS, należy unikać ich udostępniania na zewnątrz. Błędy w generowaniu tokenów mogą zostać łatwo przeoczone i ujawnić poufne dane.

Wcześniej, w lipcu 2022 r., JUMPSEC Labs poinformowało o zagrożeniu, które może wykorzystać te konta w celu uzyskania dostępu do przedsiębiorstw.

Wiz Research odkrył poufne pliki na kopiach zapasowych

To najnowsze naruszenie bezpieczeństwa firmy Microsoft. Dwa tygodnie temu firma ujawniła również, że hakerzy pochodzący z Chin włamali się do systemu i ukradli klucze bezpieczeństwa. Hakerzy przejęli konto inżyniera tej firmy i uzyskali dostęp do archiwum podpisów cyfrowych użytkownika.

Najnowszy incydent pokazuje potencjalne ryzyko związane z wdrażaniem sztucznej inteligencji (AI) w dużych systemach, mówi Ami Luttwak, dyrektor ds. technologii w firmie Wiz. Jednak w miarę jak naukowcy i inżynierowie danych ścigają się z czasem, aby wdrażać nowe rozwiązania AI, ogromne ilości przetwarzanych przez nich danych wymagają dodatkowych kontroli bezpieczeństwa i zabezpieczeń.

Wiele zespołów programistycznych musi pracować z ogromnymi ilościami danych, dzielić się nimi z kolegami lub współpracować przy publicznych projektach typu open source, dlatego przypadki takie jak ten, w którym znalazła się firma Microsoft, stają się coraz trudniejsze do śledzenia i unikania.

Link źródłowy: https://thanhnien.vn/cac-nha-nghien-cuu-ai-tai-microsoft-vo-tinh-lam-lo-38-tb-du-lieu-185230918232320803.htm