Дослідники штучного інтелекту в Microsoft випадково викрили 38 ТБ даних

Згідно з повідомленням The Hacker News , Wiz Research – стартап у сфері хмарної безпеки – нещодавно виявив витік даних у репозиторії Microsoft AI на GitHub, який, як стверджується, був випадково розкритий під час публікації групи навчальних даних з відкритим кодом.

Серед витіків даних є резервна копія робочих станцій двох колишніх співробітників Microsoft із секретними ключами, паролями та понад 30 000 внутрішніх повідомлень Teams.

Репозиторій під назвою «robust-models-transfer» зараз недоступний. До його видалення він містив вихідний код та моделі машинного навчання, пов’язані з дослідницькою роботою 2020 року.

Wiz заявив, що витік даних стався через вразливість токенів SAS, функції Azure, яка дозволяє користувачам обмінюватися даними, які важко відстежити та скасувати. Про інцидент було повідомлено Microsoft 22 червня 2023 року.

Відповідно, файл README.md репозиторію дав розробникам інструкцію завантажувати моделі з URL-адреси сховища Azure, ненавмисно надаючи доступ до всього облікового запису сховища, тим самим розкриваючи додаткові конфіденційні дані.

Дослідники Wiz заявили, що окрім надмірного доступу, токен SAS також був неправильно налаштований, що дозволяло повний контроль, а не лише читання. У разі його використання зловмисник міг не лише переглядати, але й видаляти та перезаписувати всі файли в обліковому записі сховища.

У відповідь на звіт, Microsoft заявила, що її розслідування не виявило жодних доказів витоку даних клієнтів, а також не опинилися під загрозою інші внутрішні служби через цей інцидент. Компанія наголосила, що клієнтам не потрібно вживати жодних заходів, додавши, що вона відкликала токени SAS та заблокувала весь зовнішній доступ до облікових записів сховищ.

Щоб зменшити подібні ризики, Microsoft розширила свою службу секретного сканування, щоб шукати будь-які токени SAS, які можуть мати обмежені або надмірні привілеї. Вона також виявила помилку в своїй системі сканування, яка хибно позначала URL-адреси SAS у репозиторії.

Дослідники стверджують, що через брак безпеки та управління токенів облікових записів SAS, запобіжним заходом є уникнення їх використання для зовнішнього обміну. Помилки генерації токенів можна легко пропустити та розкрити конфіденційні дані.

Раніше, у липні 2022 року, JUMPSEC Labs оголосила про загрозу, яка може використовувати ці облікові записи для отримання доступу до бізнесу.

Các nhà nghiên cứu AI tại Microsoft vô tình lộ 38TB dữ liệu - Ảnh 1. — Конфіденційні файли, знайдені в резервних копіях за допомогою Wiz Research

Це останнє порушення безпеки Microsoft. Два тижні тому компанія також повідомила, що хакери з Китаю проникли в систему та викрали ключі високої безпеки. Хакери захопили обліковий запис інженера цієї корпорації та отримали доступ до архіву цифрових підписів користувача.

Останній інцидент демонструє потенційні ризики інтеграції штучного інтелекту у великі системи, каже Амі Луттвак, технічний директор Wiz CTO. Однак, оскільки фахівці з обробки даних та інженери поспішають у впровадженні нових рішень у сфері штучного інтелекту, величезні обсяги даних, які вони обробляють, потребують додаткових перевірок безпеки та заходів захисту.

Оскільки багатьом командам розробників доводиться працювати з величезними обсягами даних, ділитися цими даними зі своїми колегами або співпрацювати над публічними проектами з відкритим кодом, такі випадки, як у Microsoft, стають дедалі складнішими для відстеження та уникнення.

Посилання на джерело