Нарушение на данните на ChatGPT: какво се случи с Mixpanel и как ви засяга

Потребителите на ChatGPT През последните няколко часа те получиха имейл, който повдигна повече от една вежда: OpenAI съобщава за нарушение на данните, свързано с неговата API платформаПредупреждението достигна до огромна аудитория, включително хора, които не са били пряко засегнати, което... предизвика известно объркване относно действителния обхват на инцидента.

Това, което компанията потвърди, е, че е имало неоторизиран достъп до информацията на някои клиентиНо проблемът не е бил със сървърите на OpenAI, а с... Mixpanel, доставчик на уеб анализи от трета страна, който е събирал показатели за използване на API интерфейса в platform.openai.comВъпреки това, случаят отново изважда проблема на преден план. дебат за това как се управляват личните данни в услугите с изкуствен интелект, също в Европа и под егидата на Бисквитки.

Грешка в Mixpanel, а не в системите на OpenAI

Както е подробно описано от OpenAI в изявлението му, инцидентът е възникнал на 9 де Ноемврикогато Mixpanel открие, че нападател е получил достъп неоторизиран достъп до част от неговата инфраструктура и е експортирал набор от данни, използван за анализ. През тези седмици доставчикът е провел вътрешно разследване, за да определи каква информация е била компрометирана.

След като Mixpanel получи повече яснота, официално информира OpenAI на 25 ноемвриизпращане на засегнатия набор от данни, за да може компанията да оцени въздействието върху собствените си клиенти. Едва тогава OpenAI започна да сравнява данни, идентифицирайте потенциално замесени акаунти и подгответе имейл известията, които пристигат в наши дни до хиляди потребители по целия свят.

OpenAI настоява, че Не е имало проникване в техните сървъри, приложения или бази данниАтакуващият не е получил достъп до ChatGPT или вътрешните системи на компанията, а по-скоро до средата на доставчик, който е събирал аналитични данни. Въпреки това, за крайния потребител практическите последици са едни и същи: част от данните му са се озовали там, където не би трябвало.

Тези типове сценарии попадат в категорията, известна в киберсигурността като атака срещу дигитална верига за доставкиВместо директно да атакуват основната платформа, престъпниците се насочват към трета страна, която обработва данни от тази платформа и често има по-малко строги мерки за сигурност.

Свързана статия:

Какви данни събират асистентите с изкуствен интелект и как да защитите поверителността си

Кои потребители всъщност са били засегнати

Един от въпросите, които пораждат най-много съмнения, е кой всъщност трябва да бъде загрижен. По този въпрос OpenAI е съвсем ясен: Разликата засяга само тези, които използват OpenAI API чрез мрежата platform.openai.comТоест, основно разработчици, компании и организации които интегрират моделите на компанията в собствените си приложения и услуги.

Потребители, които използват само обикновената версия на ChatGPT в браузъра или приложението, за случайни запитвания или лични задачи, Те не биха били пряко засегнати поради инцидента, както компанията повтаря във всички свои изявления. Въпреки това, с цел прозрачност, OpenAI реши да изпрати информационния имейл много широко, което допринесе за тревогата на много хора, които не са замесени.

В случая с API-то е обичайно зад него да стои професионални проекти, корпоративни интеграции или търговски продуктиТова важи и за европейските компании. Според предоставената информация, организациите, използващи този доставчик, включват както големи технологични компании, така и малки стартиращи компании, което засилва идеята, че всеки играч в дигиталната екосистема е уязвим при аутсорсинг на аналитични или мониторингови услуги.

От правна гледна точка е от значение за европейските клиенти, че това е нарушение в лице, отговорно за лечението (Mixpanel), който обработва данни от името на OpenAI. Това изисква уведомяване на засегнатите организации и, където е уместно, на органите за защита на данните, в съответствие с GDPR регламентите.

Какви данни са изтекли и кои данни остават в безопасност

От гледна точка на потребителя, големият въпрос е каква информация е била пропусната. OpenAI и Mixpanel са съгласни, че е... данни за профила и основна телеметрия, полезно за анализи, но не и за съдържанието на взаимодействията с изкуствен интелект или за идентификационните данни за достъп.

Сред потенциално изложени на риск данни Намерени са следните елементи, свързани с API акаунти:

• име предоставени при регистриране на акаунта в API.
• Имейл адрес свързан с този акаунт.
• Приблизително местоположение (град, област или щат и държава), изведен от браузъра и IP адреса.
• Операционна система и браузър използва се за достъп platform.openai.com.
• Справочни уебсайтове (препращащи сървъри), от които е достигнат API интерфейсът.
• Вътрешни идентификатори на потребители или организации свързан с API акаунта.

Този набор от инструменти сам по себе си не позволява на никого да поеме контрол над акаунт или да изпълнява API повиквания от името на потребителя, но предоставя сравнително пълен профил на това кой е потребителят, как се свързва и как използва услугата. За хакер, специализиран в социално инженерствоТези данни могат да бъдат чисто злато, когато подготвяте изключително убедителни имейли или съобщения.

В същото време OpenAI подчертава, че има блок информация, който не е компрометиранСпоред компанията, те остават в безопасност:

• Чат разговори с ChatGPT, включително подкани и отговори.
• API заявки и регистрационни файлове за употреба (генерирано съдържание, технически параметри и др.).
• Пароли, идентификационни данни и API ключове на сметките.
• Информация за плащане, като например номера на карти или информация за фактуриране.
• Официални документи за самоличност или друга особено чувствителна информация.

С други думи, инцидентът попада в обхвата на идентифициращи и контекстуални данниНо това не е засегнало нито разговорите с изкуствен интелект, нито ключовете, които биха позволили на трета страна да оперира директно с акаунтите.

Основни рискове: фишинг и социално инженерство

Дори ако нападателят няма пароли или API ключове, наличието им име, имейл адрес, местоположение и вътрешни идентификатори позволява стартирането измамни кампании много по-достоверни. Именно върху това експертите по OpenAI и сигурността съсредоточават усилията си.

С тази информация на масата е лесно да се изгради съобщение, което изглежда легитимно: имейли, които имитират стила на комуникация на OpenAIТе споменават API, цитират потребителя по име и дори намекват за неговия град или държава, за да звучи предупреждението по-реално. Няма нужда да атакувате инфраструктурата, ако можете да подмамите потребителя да предостави своите идентификационни данни на фалшив уебсайт.

Най-вероятните сценарии включват опити за класически фишинг (връзки към предполагаеми панели за управление на API за „проверка на акаунта“) и чрез по-сложни техники за социално инженерство, насочени към администратори на организации или ИТ екипи в компании, които използват API интензивно.

В Европа тази точка е пряко свързана с изискванията на GDPR относно минимизиране на данниНякои специалисти по киберсигурност, като екипа на OX Security, цитиран в европейските медии, посочват, че събирането на повече информация, отколкото е строго необходимо за анализ на продукти – например имейли или подробни данни за местоположението – може да се сблъска със задължението за ограничаване на количеството обработвани данни доколкото е възможно.

Отговорът на OpenAI: прекъсване на Mixpanel и задълбочен преглед

След като OpenAI получи техническите подробности за инцидента, се опита да реагира решително. Първата мярка беше напълно премахнете интеграцията с Mixpanel на всички свои производствени услуги, така че доставчикът вече да няма достъп до нови данни, генерирани от потребителите.

Същевременно компанията заявява, че щателно преглежда засегнатия набор от данни да разберат реалното въздействие върху всеки акаунт и организация. Въз основа на този анализ те са започнали да уведомявам индивидуално на администратори, компании и потребители, които се появяват в набора от данни, експортиран от нападателя.

OpenAI също твърди, че е започнал допълнителни проверки за сигурност на всички техни системи и с всички други външни доставчици с кого работи. Целта е да се повишат изискванията за защита, да се засилят договорните клаузи и да се извършва по-строг одит на начина, по който тези трети страни събират и съхраняват информация.

Компанията подчертава в своите съобщения, че „доверие, сигурност и поверителностТова са централни елементи от неговата мисия. Отвъд реториката, този случай илюстрира как пробив в привидно второстепенен агент може да има пряк ефект върху възприеманата сигурност на толкова мащабна услуга като ChatGPT.

Въздействие върху потребителите и бизнеса в Испания и Европа

В европейски контекст, където GDPR и бъдещи специфични за изкуствения интелект разпоредби Те поставят висока летва за защита на данните и подобни инциденти се разследват внимателно. За всяка компания, използваща OpenAI API от Европейския съюз, нарушение на данните от доставчик на анализи не е малък проблем.

От една страна, европейските администратори на данни, които са част от API, ще трябва прегледат оценките на въздействието си и дневниците на дейностите си да проверят как е описано използването на доставчици като Mixpanel и дали информацията, предоставяна на техните собствени потребители, е достатъчно ясна.

От друга страна, разкриването на корпоративни имейли, местоположения и организационни идентификатори отваря вратата към Целенасочени атаки срещу екипи за разработка, ИТ отдели или мениджъри на проекти с изкуствен интелектТова не е само за потенциални рискове за отделните потребители, но и за компаниите, които базират критични бизнес процеси на OpenAI модели.

В Испания този тип пропуск попада на радара на Испанска агенция за защита на данните (AEPD) когато засягат граждани или организации, пребиваващи в страната, установени на националната територия. Ако засегнатите организации преценят, че изтичането представлява риск за правата и свободите на лицата, те са длъжни да го оценят и, когато е уместно, да уведомят и компетентния орган.

Практични съвети за защита на вашия акаунт

Освен техническите обяснения, това, което много потребители искат да знаят, е Какво трябва да направят в момента?OpenAI настоява, че промяната на паролата не е задължителна, тъй като не е била разкрита, но повечето експерти препоръчват прилагането на допълнително ниво на предпазливост.

Ако използвате OpenAI API или просто искате да сте сигурни, препоръчително е да следвате поредица от основни стъпки, които Те драстично намаляват риска че атакуващ може да използва изтеклите данни:

• Бъдете внимателни с неочаквани имейли които твърдят, че са от OpenAI или услуги, свързани с API, особено ако споменават термини като „спешна проверка“, „инцидент със сигурността“ или „блокиране на акаунт“.
• Винаги проверявайте адреса на подателя и домейна, към който сочат връзките, преди да кликнете върху него. Ако имате някакви съмнения, най-добре е да го получите ръчно. platform.openai.com въвеждане на URL адреса в браузъра.
• Активиране на многофакторно удостоверяване (MFA/2FA) във вашия OpenAI акаунт и всяка друга чувствителна услуга. Това е много ефективна бариера, дори ако някой получи паролата ви чрез измама.
• Не споделяйте пароли, API ключове или кодове за потвърждение чрез имейл, чат или телефон. OpenAI напомня на потребителите, че никога няма да изисква този тип данни чрез непроверени канали.
• Валора сменете паролата си Ако сте активен потребител на API или ако сте склонни да го използвате повторно в други услуги, нещо, което обикновено е най-добре да се избягва.

За тези, които работят от компании или управляват проекти с множество разработчици, това може да е подходящ момент да... преглед на политиките за вътрешна сигурностРазрешения за достъп до API и процедури за реагиране при инциденти, като ги приведем в съответствие с препоръките на екипите по киберсигурност.

Уроци за данните, трети страни и доверието в изкуствения интелект

Изтичането на информация от Mixpanel е ограничено в сравнение с други големи инциденти през последните години, но се случва във време, когато... Услугите с генеративен изкуствен интелект станаха нещо обичайно Това важи както за физически лица, така и за европейски компании. Всеки път, когато някой се регистрира, интегрира API или качва информация в такъв инструмент, той поставя значителна част от дигиталния си живот в ръцете на трети страни.

Един от уроците, които този случай ни учи, е необходимостта да минимизирайте споделянето на лични данни с външни доставчициНяколко експерти подчертават, че дори при работа с легитимни и добре познати компании, всяка разпознаваема част от данните, която напуска основната среда, отваря нова потенциална точка на излагане.

Също така се подчертава степента, до която прозрачна комуникация Това е ключово. OpenAI е избрал да предоставя широка информация, дори да изпраща имейли до незасегнати потребители, което може да предизвика известна тревога, но от своя страна оставя по-малко място за съмнение за липса на информация.

В сценарий, в който изкуственият интелект ще продължи да бъде интегриран в административните процедури, банковото дело, здравеопазването, образованието и дистанционната работа в цяла Европа, инциденти като този служат като напомняне, че Сигурността не зависи единствено от основния доставчик.а по-скоро на цялата мрежа от компании, стоящи зад него. И че дори ако нарушението на данните не включва пароли или разговори, рискът от измама остава много реален, ако не се възприемат основни навици за защита.

Всичко, което се случи с пробива в ChatGPT и Mixpanel, показва как дори относително ограничено изтичане на информация може да има значителни последици: то принуждава OpenAI да преосмисли отношенията си с трети страни, подтиква европейските компании и разработчици да преразгледат практиките си за сигурност и напомня на потребителите, че основната им защита срещу атаки остава да бъдат информирани. да следят имейлите, които получават, и да засилят защитата на техните акаунти.

Алберто Наваро

Аз съм технологичен ентусиаст, който е превърнал своите „гийк“ интереси в професия. Прекарах повече от 10 години от живота си, използвайки авангардни технологии и бърникайки с всякакви програми от чисто любопитство. Сега съм специализирал компютърни технологии и видео игри. Това е така, защото повече от 5 години пиша за различни уебсайтове за технологии и видео игри, създавайки статии, които се стремят да ви дадат информацията, от която се нуждаете, на език, разбираем за всички.

Ако имате някакви въпроси, познанията ми варират от всичко свързано с операционната система Windows, както и с Android за мобилни телефони. И моят ангажимент е към вас, винаги съм готов да отделя няколко минути и да ви помогна да разрешите всички въпроси, които може да имате в този интернет свят.