ChatGPT məlumat pozuntusu: Mixpanel ilə nə baş verdi və bunun sizə necə təsiri

İstifadəçilər GPT söhbəti Son bir neçə saat ərzində onlar birdən çox qaş qaldıran e-poçt aldılar: OpenAI, API platforması ilə əlaqəli məlumat pozuntusu barədə məlumat verirXəbərdarlıq, birbaşa təsirlənməyən insanlar da daxil olmaqla, böyük bir auditoriyaya çatdı müəyyən çaşqınlıq yaratdı hadisənin faktiki miqyası haqqında.

Şirkətin təsdiqlədiyi şey var idi bəzi müştərilərin məlumatlarına icazəsiz girişLakin problem OpenAI-nin serverlərində deyil,... Mixpanel, API interfeysindən istifadə ölçülərini toplayan üçüncü tərəf veb analitika provayderi platform.openai.comBununla belə, iş məsələni yenidən gündəmə gətirir. süni intellekt xidmətlərində şəxsi məlumatların necə idarə olunması ilə bağlı müzakirələr, həmçinin Avropada və çətiri altında RGPD.

OpenAI sistemlərində deyil, Mixpanel-də bir səhv

OpenAI-nin verdiyi açıqlamada təfərrüatlara görə, hadisə bu tarixdə baş verib Noyabr 9Mixpanel təcavüzkarın giriş əldə etdiyini aşkar etdikdə onun infrastrukturunun bir hissəsinə icazəsiz giriş və təhlil üçün istifadə edilən verilənlər toplusunu ixrac etmişdi. Həmin həftələr ərzində satıcı hansı məlumatların oğurlandığını müəyyən etmək üçün daxili araşdırma apardı.

Mixpanel daha aydın olduqdan sonra, noyabrın 25-də OpenAI-yə rəsmi məlumat verdişirkətin öz müştərilərinə təsirini qiymətləndirə bilməsi üçün təsirə məruz qalan məlumat dəstini göndərmək. Yalnız bundan sonra OpenAI məlumatları çarpaz istinad etməyə başladı, potensial cəlb edilmiş hesabları müəyyənləşdirin və bu günlərdə dünyada minlərlə istifadəçiyə gələn e-poçt bildirişlərini hazırlayın.

OpenAI bunu təkid edir Onların serverlərinə, proqramlarına və ya verilənlər bazasına müdaxilə olmayıbTəcavüzkar ChatGPT və ya şirkətin daxili sistemlərinə deyil, analitik məlumatları toplayan provayderin mühitinə giriş əldə edib. Bununla belə, son istifadəçi üçün praktiki nəticə eynidir: onların məlumatlarının bir hissəsi olmamalı olduğu yerdə başa çatmışdır.

Bu tip ssenarilər kibertəhlükəsizliyə hücum kimi tanınan şeyə aiddir rəqəmsal təchizat zənciriCinayətkarlar böyük platformaya birbaşa hücum etmək əvəzinə, həmin platformadan məlumatları idarə edən və çox vaxt daha az sərt təhlükəsizlik nəzarətinə malik olan üçüncü tərəfi hədəf alırlar.

Əlaqədar məqalə:

AI köməkçiləri hansı məlumatları toplayır və məxfiliyinizi necə qoruyur

Hansı istifadəçilər həqiqətən təsirləndi

Ən çox şübhə yaradan məqamlardan biri kimin həqiqətən narahat olmasıdır. Bu baxımdan OpenAI olduqca aydın oldu: Boşluq yalnız OpenAI API istifadə edənlərə təsir edir İnternet vasitəsilə platform.openai.comYəni, əsasən tərtibatçılar, şirkətlər və təşkilatlar şirkətin modellərini öz tətbiq və xidmətlərinə inteqrasiya edən.

Bəzən sorğular və ya şəxsi tapşırıqlar üçün brauzerdə və ya tətbiqdə yalnız ChatGPT-nin adi versiyasını istifadə edən istifadəçilər, Onlar birbaşa təsir etməzdilər şirkət bütün açıqlamalarında təkrarladığı kimi hadisə ilə əlaqədar. Bununla belə, şəffaflıq naminə, OpenAI məlumat e-poçtunu çox geniş şəkildə göndərməyi seçdi və bu, əlaqəsi olmayan bir çox insanı narahat etməyə kömək etdi.

API vəziyyətində, onun arxasında olması adi haldır peşəkar layihələr, korporativ inteqrasiyalar və ya kommersiya məhsullarıBu, Avropa şirkətlərinə də aiddir. Təqdim olunan məlumata görə, bu provayderdən istifadə edən təşkilatlar həm böyük texnoloji şirkətləri, həm də kiçik startapları əhatə edir ki, bu da rəqəmsal ekosistemdəki hər hansı oyunçunun analitik və ya monitorinq xidmətlərini autsorsing edərkən həssas olması fikrini gücləndirir.

Hüquqi nöqteyi-nəzərdən bunun Avropalı müştərilər üçün aktualdır ki, bu a müalicəyə cavabdeh şəxs OpenAI adından məlumatları idarə edən (Mixpanel). Bunun üçün GDPR qaydalarına uyğun olaraq təsirə məruz qalan təşkilatların və lazım olduqda məlumatların mühafizəsi orqanlarının məlumatlandırılması tələb olunur.

Hansı məlumatlar sızdı və hansı məlumatlar təhlükəsiz olaraq qalır

İstifadəçinin nöqteyi-nəzərindən, böyük sual hansı məlumatın kənarda qalmasıdır. OpenAI və Mixpanel razılaşır ki, bu... profil məlumatları və əsas telemetriya, analitika üçün faydalıdır, lakin AI və ya giriş etimadnaməsi ilə qarşılıqlı əlaqə məzmunu üçün deyil.

Arasında potensial məruz qalmış məlumatlar API hesabları ilə əlaqəli aşağıdakı elementlər tapılır:

• ad API-də hesabı qeydiyyatdan keçirərkən təmin edilir.
• E-poçt ünvanı həmin hesabla əlaqələndirilir.
• Təxmini yer (şəhər, vilayət və ya əyalət və ölkə) brauzerdən və IP ünvanından çıxarılır.
• Əməliyyat sistemi və brauzer daxil olmaq üçün istifadə olunur platform.openai.com.
• İstinad saytları API interfeysinin əldə edildiyi (istinadçılar).
• Daxili istifadəçi və ya təşkilat identifikatorları API hesabına bağlıdır.

Təkcə bu alətlər dəsti heç kimə hesaba nəzarət etməyə və ya istifadəçi adından API zənglərini yerinə yetirməyə imkan vermir, lakin o, istifadəçinin kim olduğu, onların necə əlaqə saxladığı və xidmətdən necə istifadə etdiyi barədə kifayət qədər tam profil təqdim edir. İxtisaslaşmış hücumçu üçün sosial mühəndislikSon dərəcə inandırıcı e-poçt və ya mesajlar hazırlayarkən bu məlumatlar xalis qızıl ola bilər.

Eyni zamanda, OpenAI vurğulayır ki, məlumat bloku var güzəştə getməmişdirŞirkətə görə, onlar təhlükəsiz olaraq qalırlar:

• Söhbət söhbətləri sorğular və cavablar daxil olmaqla ChatGPT ilə.
• API sorğuları və istifadə qeydləri (yaradılan məzmun, texniki parametrlər və s.).
• Parollar, etimadnamələr və API açarları hesabların.
• Ödəniş məlumatlarıkart nömrələri və ya faktura məlumatları kimi.
• Rəsmi şəxsiyyəti təsdiq edən sənədlər və ya digər xüsusilə həssas məlumat.

Başqa sözlə, hadisə əhatə dairəsinə düşür identifikasiya və kontekst məlumatlarıLakin o, nə AI ilə söhbətlərə, nə də üçüncü tərəfə birbaşa hesablarda işləməyə imkan verən açarlara toxunmayıb.

Əsas risklər: fişinq və sosial mühəndislik

Təcavüzkarın parolları və ya API açarları olmasa belə, onlara sahib olmaq ad, e-poçt ünvanı, yer və daxili identifikatorlar işə salmağa imkan verir saxtakarlıq kampaniyaları daha inandırıcıdır. OpenAI və təhlükəsizlik mütəxəssisləri səylərini burada cəmləşdirirlər.

Cədvəldəki bu məlumatla qanuni görünən bir mesaj yaratmaq asandır: OpenAI-nin ünsiyyət tərzini təqlid edən e-poçtlarOnlar API-dən bəhs edir, istifadəçinin adını çəkir və hətta xəbərdarlığın daha real olması üçün şəhər və ya ölkəsinə işarə edirlər. İstifadəçini saxta veb-saytda öz etimadnaməsini təhvil vermək üçün aldada bilsəniz, infrastruktura hücum etməyə ehtiyac yoxdur.

Ən çox ehtimal olunan ssenarilər cəhdləri əhatə edir klassik fişinq ("hesabı yoxlamaq" üçün nəzərdə tutulan API idarəetmə panellərinə keçidlər) və API-dən intensiv istifadə edən şirkətlərdə təşkilatların administratorlarına və ya İT komandalarına yönəlmiş daha mükəmməl sosial mühəndislik üsulları ilə.

Avropada bu nöqtə birbaşa GDPR tələbləri ilə bağlıdır məlumatların minimuma endirilməsiAvropa mediasında istinad edilən OX Security komandası kimi bəzi kibertəhlükəsizlik mütəxəssisləri qeyd edir ki, məhsul analitikası üçün ciddi şəkildə tələb olunandan daha çox məlumat toplamaq – məsələn, e-poçtlar və ya ətraflı yer məlumatları – işlənmiş məlumatların miqdarını mümkün qədər məhdudlaşdırmaq öhdəliyi ilə ziddiyyət təşkil edə bilər.

OpenAI-nin cavabı: Mixpanel ilə fasilə və hərtərəfli nəzərdən keçirmə

OpenAI hadisənin texniki təfərrüatlarını aldıqdan sonra qətiyyətlə reaksiya verməyə çalışdı. İlk tədbir idi Mixpanel inteqrasiyasını tamamilə çıxarın provayderin artıq istifadəçilər tərəfindən yaradılan yeni məlumatlara çıxışı olmaması üçün bütün istehsal xidmətlərini əhatə edir.

Eyni zamanda şirkət bildirir ki, təsirə məruz qalan məlumat dəstini hərtərəfli nəzərdən keçirir hər bir hesaba və təşkilata real təsirini anlamaq. Həmin təhlilə əsasən, başlayıblar fərdi olaraq xəbərdar edin təcavüzkarın ixrac etdiyi verilənlər bazasında görünən administratorlara, şirkətlərə və istifadəçilərə.

OpenAI də bunun başladığını iddia edir bütün sistemlərində və bütün digər xarici provayderlərlə əlavə təhlükəsizlik yoxlamaları kiminlə işləyir. Məqsəd mühafizə tələblərini yüksəltmək, müqavilə bəndlərini gücləndirmək və bu üçüncü tərəflərin məlumatı necə toplayıb saxladığını daha ciddi şəkildə yoxlamaqdır.

Şirkət öz kommunikasiyalarında vurğulayır ki, “güvən, təhlükəsizlik və məxfilikBunlar onun missiyasının mərkəzi elementləridir. Ritorikadan əlavə, bu iş, ikinci dərəcəli agentdə bir pozuntunun ChatGPT kimi kütləvi bir xidmətin qəbul edilən təhlükəsizliyinə necə birbaşa təsir göstərə biləcəyini göstərir.

İspaniya və Avropadakı istifadəçilərə və bizneslərə təsir

Avropa kontekstində, harada GDPR və gələcək süni intellektə xüsusi qaydalar Onlar məlumatların qorunması üçün yüksək bar qoyurlar və bu kimi hadisələr diqqətlə araşdırılır. Avropa İttifaqı daxilində OpenAI API istifadə edən hər hansı bir şirkət üçün analitik provayder tərəfindən məlumatların pozulması kiçik məsələ deyil.

Bir tərəfdən, API-nin bir hissəsi olan Avropa məlumat nəzarətçiləri məcbur olacaqlar onların təsir qiymətləndirmələrini və fəaliyyət jurnallarını nəzərdən keçirin Mixpanel kimi provayderlərin istifadəsinin necə təsvir edildiyini və öz istifadəçilərinə təqdim olunan məlumatların kifayət qədər aydın olub olmadığını yoxlamaq.

Digər tərəfdən, korporativ e-poçtların, yerlərin və təşkilati identifikatorların ifşası İnkişaf qruplarına, İT departamentlərinə və ya AI layihə menecerlərinə qarşı hədəflənmiş hücumlarBu, təkcə fərdi istifadəçilər üçün deyil, həm də kritik biznes proseslərini OpenAI modelləri əsasında quran şirkətlər üçün potensial risklərə aiddir.

İspaniyada bu tip boşluqlar radarların üzərinə düşür İspaniya Məlumatların Mühafizəsi Agentliyi (AEPD) onlar rezident vətəndaşlara və ya milli ərazidə yaradılmış qurumlara təsir etdikdə. Təsirə məruz qalan təşkilatlar sızmanın şəxslərin hüquq və azadlıqları üçün risk yaratdığını hesab edərlərsə, onlar bunu qiymətləndirməyə və lazım gəldikdə səlahiyyətli orqanı da xəbərdar etməyə borcludurlar.

Hesabınızı qorumaq üçün praktiki məsləhətlər

Texniki izahatlardan başqa, bir çox istifadəçinin bilmək istədiyi şey budur indi nə etməlidirlərOpenAI israr edir ki, parolun dəyişdirilməsi vacib deyil, çünki o, sızmayıb, lakin əksər ekspertlər əlavə ehtiyatlılıq səviyyəsini tətbiq etməyi tövsiyə edir.

OpenAI API istifadə edirsinizsə və ya sadəcə təhlükəsiz tərəfdə olmaq istəyirsinizsə, bir sıra əsas addımlara əməl etməyiniz məsləhətdir. Onlar riski kəskin şəkildə azaldırlar təcavüzkarın sızan məlumatlardan istifadə edə biləcəyi:

• Gözlənilməz e-poçtlardan ehtiyatlı olun OpenAI və ya API ilə əlaqəli xidmətlərdən olduğunu iddia edənlər, xüsusən də "təcili yoxlama", "təhlükəsizlik hadisəsi" və ya "hesabın bloklanması" kimi şərtləri qeyd edərlərsə.
• Həmişə göndərənin ünvanını yoxlayın və klikləmədən əvvəl keçidlərin göstərdiyi domen. Hər hansı bir şübhəniz varsa, ona əl ilə daxil olmaq daha yaxşıdır. platform.openai.com URL-ni brauzerə daxil edin.
• Çox faktorlu autentifikasiyanı aktivləşdirin (MFA/2FA) OpenAI hesabınızda və hər hansı digər həssas xidmətdə. Kimsə parolunuzu aldatma yolu ilə əldə etsə belə, bu, çox təsirli bir maneədir.
• Parolları, API açarlarını və ya doğrulama kodlarını paylaşmayın e-poçt, söhbət və ya telefon vasitəsilə. OpenAI istifadəçilərə xatırladır ki, o, heç vaxt təsdiqlənməmiş kanallar vasitəsilə bu tip məlumatları tələb etməyəcək.
• Dəyər Şifrənizi dəyişin Əgər siz API-nin ağır istifadəçisisinizsə və ya onu digər xidmətlərdə təkrar istifadə etməyə meyllisinizsə, ümumiyyətlə, ən yaxşı şəkildə qarşısını almaq olar.

Şirkətlərdən fəaliyyət göstərən və ya birdən çox tərtibatçı ilə layihələri idarə edənlər üçün bu, yaxşı vaxt ola bilər daxili təhlükəsizlik siyasətlərini nəzərdən keçirinAPI giriş icazələri və insidentlərə cavab prosedurları, onları kibertəhlükəsizlik qruplarının tövsiyələri ilə uyğunlaşdırır.

Məlumatlar, üçüncü tərəflər və AI-yə etibar haqqında dərslər

Mixpanel sızması son illərdəki digər böyük hadisələrlə müqayisədə məhdud idi, lakin bu, Generativ AI xidmətləri adi hala çevrilib Bu həm fiziki şəxslərə, həm də Avropa şirkətlərinə aiddir. Kimsə hər dəfə qeydiyyatdan keçəndə, API-ni inteqrasiya edəndə və ya belə bir alətə məlumat yükləyəndə, rəqəmsal həyatının əhəmiyyətli bir hissəsini üçüncü tərəflərin əlinə verir.

Bu işin öyrətdiyi dərslərdən biri də ehtiyacdır xarici provayderlərlə paylaşılan şəxsi məlumatları minimuma endirməkBir sıra ekspertlər vurğulayırlar ki, hətta qanuni və tanınmış şirkətlərlə işləyərkən belə, əsas mühiti tərk edən hər bir müəyyən edilə bilən məlumat parçası yeni potensial məruz qalma nöqtəsi açır.

Bu, həm də nə dərəcədə olduğunu vurğulayır şəffaf ünsiyyət Bu açardır. OpenAI geniş məlumat təqdim etməyi, hətta təsirlənməmiş istifadəçilərə e-poçt göndərməyi seçdi ki, bu da müəyyən həyəcan yarada bilər, lakin öz növbəsində məlumat çatışmazlığından şübhələnmək üçün daha az yer buraxır.

Süni intellektin bütün Avropada inzibati prosedurlara, bank işinə, səhiyyəyə, təhsilə və uzaqdan işə inteqrasiya olunmağa davam edəcəyi bir ssenaridə bu kimi hadisələr bir xatırlatma rolunu oynayır. Təhlükəsizlik təkcə əsas provayderdən asılı deyil.daha çox onun arxasında olan bütün şirkətlər şəbəkəsi. Və məlumatların pozulmasına parollar və ya söhbətlər daxil olmasa belə, əsas qorunma vərdişləri qəbul edilmədikdə fırıldaqçılıq riski çox real olaraq qalır.

ChatGPT və Mixpanel pozuntusu ilə baş verən hər şey hətta nisbətən məhdud sızmanın belə əhəmiyyətli nəticələrə səbəb ola biləcəyini göstərir: bu, OpenAI-ni üçüncü tərəflərlə münasibətlərini yenidən düşünməyə məcbur edir, Avropa şirkətlərini və tərtibatçılarını təhlükəsizlik təcrübələrini nəzərdən keçirməyə məcbur edir və istifadəçilərə hücumlara qarşı əsas müdafiələrinin məlumatlı qaldığını xatırladır. aldıqları e-poçtlara nəzarət etmək və hesablarının mühafizəsini gücləndirmək.

Alberto navarro

Mən öz "geek" maraqlarını peşəyə çevirmiş texnologiya həvəskarıyam. Mən həyatımın 10 ilindən çoxunu qabaqcıl texnologiyadan istifadə edərək və hər cür proqramlarla maraqlanaraq sərf etmişəm. İndi mən kompüter texnologiyası və video oyunları üzrə ixtisaslaşmışam. Bunun səbəbi, 5 ildən artıqdır ki, texnologiya və video oyunlarla bağlı müxtəlif saytlar üçün yazılar yazıram, sizə lazım olan məlumatları hamı üçün başa düşülən dildə verməyə çalışan məqalələr hazırlayıram.

Hər hansı bir sualınız varsa, mənim biliklərim Windows əməliyyat sistemi, eləcə də mobil telefonlar üçün Android ilə əlaqəli hər şeyi əhatə edir. Və mənim öhdəliyim sizədir, mən həmişə bir neçə dəqiqə sərf etməyə və bu internet dünyasında yarana biləcək bütün suallarınızı həll etməyə kömək etməyə hazıram.