Toriad data ChatGPT: beth ddigwyddodd gyda Mixpanel a sut mae'n effeithio arnoch chi

Defnyddwyr SgwrsGPT Yn ystod yr oriau diwethaf, maen nhw wedi derbyn e-bost sydd wedi codi mwy nag un ael: Mae OpenAI yn adrodd am doriad data sy'n gysylltiedig â'i blatfform APIMae'r rhybudd wedi cyrraedd cynulleidfa enfawr, gan gynnwys pobl nad oeddent wedi cael eu heffeithio'n uniongyrchol, sydd wedi wedi creu rhywfaint o ddryswch ynglŷn â chwmpas gwirioneddol y digwyddiad.

Yr hyn y mae'r cwmni wedi'i gadarnhau yw bod yna wedi bod mynediad heb awdurdod i wybodaeth rhai cwsmeriaidOnd nid gyda gweinyddion OpenAI y mae'r broblem wedi bod, ond gyda... Mixpanel, darparwr dadansoddi gwe trydydd parti a gasglodd fetrigau defnydd rhyngwyneb API yn platform.openai.comEr hynny, mae'r achos yn dod â'r mater yn ôl i'r amlwg. dadl ar sut mae data personol yn cael ei reoli mewn gwasanaethau deallusrwydd artiffisial, hefyd yn Ewrop a dan ymbarél RGPD.

Nam yn Mixpanel, nid yn systemau OpenAI

Fel y manylwyd gan OpenAI yn ei ddatganiad, dechreuodd y digwyddiad ar Tachwedd 9pan ganfu Mixpanel fod ymosodwr wedi cael mynediad mynediad heb awdurdod i ran o'i seilwaith ac wedi allforio set ddata a ddefnyddiwyd ar gyfer dadansoddi. Yn ystod yr wythnosau hynny, cynhaliodd y gwerthwr ymchwiliad mewnol i benderfynu pa wybodaeth oedd wedi'i chyfaddawdu.

Unwaith y cafodd Mixpanel fwy o eglurder, hysbysu OpenAI yn ffurfiol ar Dachwedd 25anfon y set ddata yr effeithiwyd arni fel y gallai'r cwmni asesu'r effaith ar ei gwsmeriaid ei hun. Dim ond wedyn y dechreuodd OpenAI groesgyfeirio data, nodi cyfrifon a allai fod yn gysylltiedig a pharatoi'r hysbysiadau e-bost sy'n cyrraedd y dyddiau hyn i filoedd o ddefnyddwyr ledled y byd.

Mae OpenAI yn mynnu hynny Nid oes unrhyw ymyrraeth wedi bod i'w gweinyddion, eu cymwysiadau na'u cronfeydd dataNi chafodd yr ymosodwr fynediad i ChatGPT na systemau mewnol y cwmni, ond yn hytrach i amgylchedd darparwr a oedd yn casglu data dadansoddeg. Er hynny, i'r defnyddiwr terfynol, mae'r canlyniad ymarferol yr un fath: mae rhywfaint o'u data wedi cyrraedd lle na ddylai fod wedi cyrraedd.

Mae'r mathau hyn o senarios yn dod o dan yr hyn a elwir mewn seiberddiogelwch yn ymosodiad ar y cadwyn gyflenwi ddigidolYn hytrach nag ymosod yn uniongyrchol ar y prif blatfform, mae troseddwyr yn targedu trydydd parti sy'n trin data o'r platfform hwnnw ac yn aml mae ganddo reolaethau diogelwch llai llym.

Erthygl gysylltiedig:

Pa ddata mae cynorthwywyr AI yn ei gasglu a sut i amddiffyn eich preifatrwydd

Pa ddefnyddwyr sydd wedi cael eu heffeithio mewn gwirionedd

Un o'r pwyntiau sy'n creu'r amheuaeth fwyaf yw pwy ddylai fod yn bryderus mewn gwirionedd. Ar y pwynt hwn, mae OpenAI wedi bod yn eithaf clir: Dim ond y rhai sy'n defnyddio'r API OpenAI y mae'r bwlch yn effeithio arnynt trwy'r We platform.openai.comHynny yw, yn bennaf datblygwyr, cwmnïau a sefydliadau sy'n integreiddio modelau'r cwmni i'w cymwysiadau a'u gwasanaethau eu hunain.

Defnyddwyr sydd ond yn defnyddio'r fersiwn reolaidd o ChatGPT yn y porwr neu'r ap, ar gyfer ymholiadau achlysurol neu dasgau personol, Ni fyddent wedi cael eu heffeithio'n uniongyrchol oherwydd y digwyddiad, fel y mae'r cwmni'n ei ailadrodd ym mhob un o'i ddatganiadau. Er hynny, er mwyn tryloywder, dewisodd OpenAI anfon yr e-bost gwybodaeth yn eang iawn, sydd wedi cyfrannu at ddychryn llawer o bobl nad ydynt yn rhan o'r broses.

Yn achos yr API, mae'n arferol bod y tu ôl iddo yna prosiectau proffesiynol, integreiddiadau corfforaethol, neu gynhyrchion masnacholMae hyn hefyd yn berthnasol i gwmnïau Ewropeaidd. Yn ôl y wybodaeth a ddarparwyd, mae'r sefydliadau sy'n defnyddio'r darparwr hwn yn cynnwys cwmnïau technoleg mawr a chwmnïau newydd bach, gan atgyfnerthu'r syniad bod unrhyw chwaraewr yn yr ecosystem ddigidol yn agored i niwed wrth allanoli gwasanaethau dadansoddeg neu fonitro.

O safbwynt cyfreithiol, mae'n berthnasol i gwsmeriaid Ewropeaidd bod hwn yn dor-rheol mewn a person sy'n gyfrifol am driniaeth (Mixpanel) sy'n trin data ar ran OpenAI. Mae hyn yn ei gwneud yn ofynnol hysbysu'r sefydliadau yr effeithir arnynt a, lle bo'n briodol, yr awdurdodau diogelu data, yn unol â rheoliadau GDPR.

Pa ddata sydd wedi'i ollwng a pha ddata sy'n parhau'n ddiogel

O safbwynt y defnyddiwr, y cwestiwn mawr yw pa fath o wybodaeth sydd wedi'i gadael allan. Mae OpenAI a Mixpanel yn cytuno ei fod... data proffil a thelemetreg sylfaenol, yn ddefnyddiol ar gyfer dadansoddeg, ond nid ar gyfer cynnwys rhyngweithiadau â deallusrwydd artiffisial na manylion mewngofnodi mynediad.

Rhwng data a allai fod wedi'i ddatgelu Mae'r elfennau canlynol sy'n gysylltiedig â chyfrifon API i'w cael:

• enw a ddarperir wrth gofrestru'r cyfrif yn yr API.
• Cyfeiriad e-bost sy'n gysylltiedig â'r cyfrif hwnnw.
• Lleoliad bras (dinas, talaith neu dalaith, a gwlad), wedi'i gasglu o'r porwr a'r cyfeiriad IP.
• System weithredu a phorwr a ddefnyddir i gael mynediad platform.openai.com.
• Gwefannau cyfeirio (cyfeirwyr) y cyrhaeddwyd y rhyngwyneb API ohonynt.
• Dynodwyr defnyddiwr neu sefydliad mewnol wedi'i gysylltu â'r cyfrif API.

Nid yw'r set hon o offer ar ei phen ei hun yn caniatáu i unrhyw un gymryd rheolaeth o gyfrif na gweithredu galwadau API ar ran y defnyddiwr, ond mae'n darparu proffil eithaf cyflawn o bwy yw'r defnyddiwr, sut maen nhw'n cysylltu, a sut maen nhw'n defnyddio'r gwasanaeth. I ymosodwr sy'n arbenigo mewn peirianneg gymdeithasolGall y data hwn fod yn aur pur wrth baratoi e-byst neu negeseuon hynod argyhoeddiadol.

Ar yr un pryd, mae OpenAI yn pwysleisio bod bloc o wybodaeth sydd heb ei berygluYn ôl y cwmni, maen nhw'n parhau i fod yn ddiogel:

• Sgyrsiau sgwrsio gyda ChatGPT, gan gynnwys awgrymiadau ac ymatebion.
• Ceisiadau API a logiau defnydd (cynnwys a gynhyrchwyd, paramedrau technegol, ac ati).
• Cyfrineiriau, manylion mewngofnodi, ac allweddi API o'r cyfrifon.
• Gwybodaeth Talu, fel rhifau cardiau neu wybodaeth bilio.
• Dogfennau adnabod swyddogol neu wybodaeth arbennig o sensitif arall.

Mewn geiriau eraill, mae'r digwyddiad yn dod o fewn cwmpas y adnabod a data cyd-destunolOnd nid yw wedi cyffwrdd â'r sgyrsiau gydag AI na'r allweddi a fyddai'n caniatáu i drydydd parti weithredu'n uniongyrchol ar y cyfrifon.

Prif risgiau: gwe-rwydo a pheirianneg gymdeithasol

Hyd yn oed os nad oes gan yr ymosodwr gyfrineiriau na allweddi API, eu cael nhw enw, cyfeiriad e-bost, lleoliad, a dynodwyr mewnol yn caniatáu lansio ymgyrchoedd twyll llawer mwy credadwy. Dyma lle mae OpenAI ac arbenigwyr diogelwch yn canolbwyntio eu hymdrechion.

Gyda'r wybodaeth honno ar y bwrdd, mae'n hawdd llunio neges sy'n ymddangos yn ddilys: negeseuon e-bost sy'n dynwared arddull cyfathrebu OpenAIMaen nhw'n sôn am yr API, yn dyfynnu'r defnyddiwr wrth enw, a hyd yn oed yn cyfeirio at eu dinas neu wlad i wneud i'r rhybudd swnio'n fwy real. Does dim angen ymosod ar y seilwaith os gallwch chi dwyllo'r defnyddiwr i roi eu manylion mewngofnodi ar wefan ffug.

Mae'r senarios mwyaf tebygol yn cynnwys ymdrechion i gwe-rwydo clasurol (dolenni i baneli rheoli API honedig i “wirio’r cyfrif”) a thrwy dechnegau peirianneg gymdeithasol mwy cymhleth sydd wedi’u hanelu at weinyddwyr sefydliadau neu dimau TG mewn cwmnïau sy’n defnyddio’r API yn ddwys.

Yn Ewrop, mae'r pwynt hwn wedi'i gysylltu'n uniongyrchol â gofynion GDPR ar lleihau dataMae rhai arbenigwyr seiberddiogelwch, fel y tîm OX Security a ddyfynnwyd yn y cyfryngau Ewropeaidd, yn tynnu sylw at y ffaith y gall casglu mwy o wybodaeth nag sy'n gwbl angenrheidiol ar gyfer dadansoddeg cynnyrch—er enghraifft, negeseuon e-bost neu ddata lleoliad manwl—wrthdaro â'r rhwymedigaeth i gyfyngu cymaint â phosibl ar faint o ddata a brosesir.

Ymateb OpenAI: torri gyda Mixpanel ac adolygiad trylwyr

Unwaith i OpenAI dderbyn manylion technegol y digwyddiad, ceisiodd ymateb yn bendant. Y mesur cyntaf oedd dileu'r integreiddiad Mixpanel yn llwyr o'i holl wasanaethau cynhyrchu, fel nad oes gan y darparwr fynediad mwyach at ddata newydd a gynhyrchir gan ddefnyddwyr.

Ar yr un pryd, mae'r cwmni'n datgan bod yn adolygu'r set ddata yr effeithir arni'n drylwyr i ddeall yr effaith wirioneddol ar bob cyfrif a sefydliad. Yn seiliedig ar y dadansoddiad hwnnw, maent wedi dechrau hysbysu'n unigol i weinyddwyr, cwmnïau a defnyddwyr sy'n ymddangos yn y set ddata a allforiwyd gan yr ymosodwr.

Mae OpenAI hefyd yn honni ei fod wedi dechrau gwiriadau diogelwch ychwanegol ar eu holl systemau a chyda'r holl ddarparwyr allanol eraill gyda phwy mae'n gweithio. Y nod yw codi gofynion amddiffyn, cryfhau cymalau cytundebol, ac archwilio'n fwy trylwyr sut mae'r trydydd partïon hyn yn casglu ac yn storio gwybodaeth.

Mae'r cwmni'n pwysleisio yn ei gyfathrebiadau fod “ymddiriedaeth, diogelwch a phreifatrwyddDyma elfennau canolog ei genhadaeth. Y tu hwnt i'r rhethreg, mae'r achos hwn yn dangos sut y gall toriad mewn asiant sy'n ymddangos yn eilaidd gael effaith uniongyrchol ar ddiogelwch canfyddedig gwasanaeth mor enfawr â ChatGPT.

Effaith ar ddefnyddwyr a busnesau yn Sbaen ac Ewrop

Yng nghyd-destun Ewropeaidd, lle mae'r GDPR a rheoliadau penodol i AI yn y dyfodol Maen nhw'n gosod safon uchel ar gyfer diogelu data, ac mae digwyddiadau fel hyn yn cael eu craffu. I unrhyw gwmni sy'n defnyddio'r OpenAI API o fewn yr Undeb Ewropeaidd, nid yw toriad data gan ddarparwr dadansoddeg yn fater bach.

Ar y naill law, bydd yn rhaid i reolwyr data Ewropeaidd sy'n rhan o'r API adolygu eu hasesiadau effaith a'u logiau gweithgaredd i wirio sut mae'r defnydd o ddarparwyr fel Mixpanel yn cael ei ddisgrifio ac a yw'r wybodaeth a ddarperir i'w defnyddwyr eu hunain yn ddigon clir.

Ar y llaw arall, mae datgelu e-byst corfforaethol, lleoliadau, a dynodwyr sefydliadol yn agor y drws i Ymosodiadau wedi'u targedu yn erbyn timau datblygu, adrannau TG, neu reolwyr prosiectau AINid yw hyn yn ymwneud â risgiau posibl i ddefnyddwyr unigol yn unig, ond hefyd i gwmnïau sy'n seilio prosesau busnes hanfodol ar fodelau OpenAI.

Yn Sbaen, mae'r math hwn o fwlch yn dod ar radar y Asiantaeth Diogelu Data Sbaen (AEPD) pan fyddant yn effeithio ar ddinasyddion preswyl neu endidau sydd wedi'u sefydlu yn y diriogaeth genedlaethol. Os yw'r sefydliadau yr effeithir arnynt yn ystyried bod y gollyngiad yn peri risg i hawliau a rhyddid unigolion, mae'n ofynnol iddynt ei asesu a, lle bo'n briodol, hysbysu'r awdurdod cymwys hefyd.

Awgrymiadau ymarferol i amddiffyn eich cyfrif

Y tu hwnt i'r esboniadau technegol, yr hyn y mae llawer o ddefnyddwyr eisiau ei wybod yw Beth sydd raid iddyn nhw ei wneud ar hyn o bryd?Mae OpenAI yn mynnu nad yw newid y cyfrinair yn hanfodol, gan nad yw wedi'i ollwng, ond mae'r rhan fwyaf o arbenigwyr yn argymell bod yn ofalus ychwanegol.

Os ydych chi'n defnyddio'r OpenAI API, neu os ydych chi eisiau bod ar yr ochr ddiogel, mae'n ddoeth dilyn cyfres o gamau sylfaenol sydd Maent yn lleihau'r risg yn sylweddol y gallai ymosodwr fanteisio ar y data a ollyngwyd:

• Byddwch yn ofalus o negeseuon e-bost annisgwyl sy'n honni eu bod o OpenAI neu wasanaethau sy'n gysylltiedig ag API, yn enwedig os ydynt yn sôn am dermau fel "gwirio brys", "digwyddiad diogelwch" neu "cloi cyfrif allan".
• Gwiriwch gyfeiriad yr anfonwr bob amser a'r parth y mae'r dolenni'n cyfeirio ato cyn clicio. Os oes gennych unrhyw amheuon, mae'n well ei gyrchu â llaw. platform.openai.com teipio'r URL i'r porwr.
• Galluogi dilysu aml-ffactor (MFA/2FA) ar eich cyfrif OpenAI ac unrhyw wasanaeth sensitif arall. Mae'n rhwystr effeithiol iawn hyd yn oed os bydd rhywun yn cael eich cyfrinair trwy dwyll.
• Peidiwch â rhannu cyfrineiriau, allweddi API, na chodau dilysu drwy e-bost, sgwrs, neu ffôn. Mae OpenAI yn atgoffa defnyddwyr na fydd byth yn gofyn am y math hwn o ddata drwy sianeli heb eu gwirio.
• Gwerth newid eich cyfrinair Os ydych chi'n ddefnyddiwr trwm o'r API neu os ydych chi'n tueddu i'w ailddefnyddio mewn gwasanaethau eraill, rhywbeth y mae'n well ei osgoi fel arfer.

I'r rhai sy'n gweithredu o gwmnïau neu'n rheoli prosiectau gyda datblygwyr lluosog, gallai hwn fod yn amser da i adolygu polisïau diogelwch mewnolCaniatadau mynediad API a gweithdrefnau ymateb i ddigwyddiadau, gan eu halinio ag argymhellion y timau seiberddiogelwch.

Gwersi ar ddata, trydydd partïon, ac ymddiriedaeth mewn deallusrwydd artiffisial

Mae gollyngiad Mixpanel wedi bod yn gyfyngedig o'i gymharu â digwyddiadau mawr eraill yn ystod y blynyddoedd diwethaf, ond mae'n dod ar adeg pan fo'r Mae gwasanaethau AI cynhyrchiol wedi dod yn gyffredin Mae hyn yn berthnasol i unigolion a chwmnïau Ewropeaidd. Bob tro mae rhywun yn cofrestru, yn integreiddio API, neu'n uwchlwytho gwybodaeth i offeryn o'r fath, maen nhw'n rhoi rhan sylweddol o'u bywyd digidol yn nwylo trydydd partïon.

Un o'r gwersi mae'r achos hwn yn eu dysgu yw'r angen i lleihau'r data personol a rennir gyda darparwyr allanolMae sawl arbenigwr yn pwysleisio, hyd yn oed wrth weithio gyda chwmnïau cyfreithlon ac adnabyddus, fod pob darn adnabyddadwy o ddata sy'n gadael y prif amgylchedd yn agor pwynt amlygiad posibl newydd.

Mae hefyd yn tynnu sylw at y graddau y mae'r cyfathrebu tryloyw Mae hyn yn allweddol. Mae OpenAI wedi dewis darparu gwybodaeth eang, hyd yn oed anfon negeseuon e-bost at ddefnyddwyr nad ydynt wedi cael eu heffeithio, a all achosi rhywfaint o bryder ond, yn ei dro, yn gadael llai o le i amau ​​diffyg gwybodaeth.

Mewn senario lle bydd deallusrwydd artiffisial yn parhau i gael ei integreiddio i weithdrefnau gweinyddol, bancio, iechyd, addysg a gweithio o bell ledled Ewrop, mae digwyddiadau fel hyn yn ein hatgoffa bod Nid yw diogelwch yn dibynnu'n llwyr ar y prif ddarparwr.ond yn hytrach o'r rhwydwaith cyfan o gwmnïau y tu ôl iddo. A hyd yn oed os nad yw'r toriad data yn cynnwys cyfrineiriau na sgyrsiau, mae'r risg o dwyll yn parhau i fod yn real iawn os na chaiff arferion amddiffyn sylfaenol eu mabwysiadu.

Mae popeth a ddigwyddodd gyda'r toriad ChatGPT a Mixpanel yn dangos sut y gall hyd yn oed gollyngiad cymharol gyfyngedig gael canlyniadau sylweddol: mae'n gorfodi OpenAI i ailystyried ei berthynas â thrydydd partïon, yn gwthio cwmnïau a datblygwyr Ewropeaidd i adolygu eu harferion diogelwch, ac yn atgoffa defnyddwyr mai eu prif amddiffyniad yn erbyn ymosodiadau yw aros yn wybodus. monitro'r negeseuon e-bost maen nhw'n eu derbyn a chryfhau diogelwch eu cyfrifon.

Alberto navarro

Rwy'n frwd dros dechnoleg sydd wedi troi ei ddiddordebau "geek" yn broffesiwn. Rwyf wedi treulio mwy na 10 mlynedd o fy mywyd yn defnyddio technoleg flaengar ac yn tinkering gyda phob math o raglenni allan o chwilfrydedd pur. Nawr rydw i wedi arbenigo mewn technoleg gyfrifiadurol a gemau fideo. Mae hyn oherwydd ers mwy na 5 mlynedd rwyf wedi bod yn ysgrifennu ar gyfer gwefannau amrywiol ar dechnoleg a gemau fideo, gan greu erthyglau sy'n ceisio rhoi'r wybodaeth sydd ei hangen arnoch mewn iaith sy'n ddealladwy i bawb.

Os oes gennych unrhyw gwestiynau, mae fy ngwybodaeth yn amrywio o bopeth sy'n ymwneud â system weithredu Windows yn ogystal ag Android ar gyfer ffonau symudol. Ac mae fy ymrwymiad i chi, rwyf bob amser yn barod i dreulio ychydig funudau a'ch helpu i ddatrys unrhyw gwestiynau sydd gennych yn y byd rhyngrwyd hwn.