ChatGPT ma'lumotlarining buzilishi: Mixpanel bilan nima sodir bo'ldi va bu sizga qanday ta'sir qiladi

Foydalanuvchilar GPT chat So'nggi bir necha soat ichida ular bir nechta qoshlarini ko'targan elektron pochta xabarlarini olishdi: OpenAI oʻzining API platformasi bilan bogʻliq maʼlumotlar buzilishi haqida xabar beradiOgohlantirish katta auditoriyaga, shu jumladan to'g'ridan-to'g'ri ta'sir qilmagan odamlarga etib keldi biroz chalkashliklarni keltirib chiqardi voqeaning haqiqiy doirasi haqida.

Kompaniyaning tasdiqlagani shundaki, u bor edi ba'zi mijozlar ma'lumotlariga ruxsatsiz kirishAmmo muammo OpenAI serverlarida emas, balki... Mixpanel, API interfeysidan foydalanish ko'rsatkichlarini to'plagan uchinchi tomon veb-tahlil provayderi platform.openai.comShunday bo'lsa ham, ish bu masalani yana birinchi o'ringa olib chiqadi. sun'iy intellekt xizmatlarida shaxsiy ma'lumotlar qanday boshqarilishi haqida munozara, shuningdek, Evropada va soyabon ostida RGPD.

OpenAI tizimlarida emas, Mixpanelda xatolik

OpenAI tomonidan o'z bayonotida batafsil ma'lumot berilganidek, voqea sodir bo'lgan 9 de noviembreMixpanel tajovuzkor kirish huquqiga ega ekanligini aniqlaganida uning infratuzilmasining bir qismiga ruxsatsiz kirish va tahlil qilish uchun foydalanilgan ma'lumotlar to'plamini eksport qildi. O'sha haftalar davomida sotuvchi qanday ma'lumotlar buzilganligini aniqlash uchun ichki tekshiruv o'tkazdi.

Mixpanel yanada aniqroq bo'lganida, 25-noyabr kuni OpenAIga rasman xabar berdikompaniya o'z mijozlariga ta'sirini baholashi uchun ta'sirlangan ma'lumotlar to'plamini yuborish. Shundan keyingina OpenAI ma'lumotlarga o'zaro murojaat qilishni boshladi, potentsial jalb qilingan hisoblarni aniqlang va shu kunlarda butun dunyo bo'ylab minglab foydalanuvchilarga kelayotgan elektron pochta xabarnomalarini tayyorlang.

OpenAI buni ta'kidlaydi Ularning serverlari, ilovalari yoki ma'lumotlar bazalariga hech qanday hujum bo'lmaganBuzg'unchi ChatGPT yoki kompaniyaning ichki tizimlariga emas, balki tahliliy ma'lumotlarni to'playotgan provayderning muhitiga kira oldi. Shunga qaramay, oxirgi foydalanuvchi uchun amaliy natija bir xil: ularning ma'lumotlarining bir qismi bo'lmasligi kerak bo'lgan joyda tugadi.

Ushbu turdagi stsenariylar kiberxavfsizlikda ma'lum bo'lgan hujumga tegishli raqamli ta'minot zanjiriJinoyatchilar asosiy platformaga to'g'ridan-to'g'ri hujum qilish o'rniga, ushbu platformadan ma'lumotlarni qayta ishlaydigan va ko'pincha xavfsizlik nazorati kamroq bo'lgan uchinchi tomonni nishonga olishadi.

Tegishli maqola:

AI yordamchilari qanday ma'lumotlarni to'playdi va maxfiyligingizni qanday himoya qiladi

Qaysi foydalanuvchilar aslida ta'sir ko'rsatdi

Eng ko'p shubha tug'diradigan nuqtalardan biri bu kimni tashvishga solishi kerak. Shu nuqtada OpenAI juda aniq edi: Bo'shliq faqat OpenAI API-dan foydalanadiganlarga ta'sir qiladi Internet orqali platform.openai.comYa'ni, asosan ishlab chiquvchilar, kompaniyalar va tashkilotlar kompaniya modellarini o'z ilovalari va xizmatlariga birlashtiradigan.

Vaqti-vaqti bilan so'rovlar yoki shaxsiy vazifalar uchun brauzer yoki ilovada ChatGPT ning faqat oddiy versiyasidan foydalanadigan foydalanuvchilar, Ular to'g'ridan-to'g'ri ta'sir qilmagan bo'lardi hodisa tufayli, kompaniya o'zining barcha bayonotlarida takrorlaydi. Shunga qaramay, oshkoralik uchun OpenAI ma'lumot elektron pochtasini juda keng yuborishni tanladi, bu esa aloqasi bo'lmagan ko'plab odamlarni tashvishga soldi.

API bo'lsa, uning orqasida bo'lishi odatiy holdir professional loyihalar, korporativ integratsiya yoki tijorat mahsulotlariBu Yevropa kompaniyalariga ham tegishli. Taqdim etilgan ma'lumotlarga ko'ra, ushbu provayderdan foydalanadigan tashkilotlar ham yirik texnologiya kompaniyalari, ham kichik startaplarni o'z ichiga oladi, bu raqamli ekotizimdagi har qanday o'yinchi tahliliy yoki monitoring xizmatlarini autsorsing qilishda zaif ekanligi haqidagi fikrni kuchaytiradi.

Yuridik nuqtai nazardan, evropalik mijozlar uchun bu a qonunining buzilishi hisoblanadi davolash uchun mas'ul shaxs OpenAI nomidan ma'lumotlarni qayta ishlaydigan (Mixpanel). Bu GDPR qoidalariga muvofiq zararlangan tashkilotlarni va kerak bo'lganda ma'lumotlarni himoya qilish organlarini xabardor qilishni talab qiladi.

Qaysi ma'lumotlar sizib ketgan va qaysi ma'lumotlar xavfsiz bo'lib qolmoqda

Foydalanuvchi nuqtai nazaridan, qanday ma'lumotlar e'tibordan chetda qolganligi katta savol. OpenAI va Mixpanel bunga rozi... profil ma'lumotlari va asosiy telemetriya, tahlil uchun foydali, lekin AI yoki kirish hisob ma'lumotlari bilan o'zaro aloqalar mazmuni uchun emas.

Orasida potentsial ma'lumotlar API hisoblariga tegishli quyidagi elementlar topiladi:

• ism APIda hisobni ro'yxatdan o'tkazishda taqdim etiladi.
• E-pochta manzili bu hisob bilan bog'langan.
• Taxminiy joylashuv (shahar, viloyat yoki shtat va mamlakat), brauzer va IP manzilidan kelib chiqqan holda.
• Operatsion tizim va brauzer kirish uchun ishlatiladi platform.openai.com.
• Malumot saytlari API interfeysiga erishilgan (yo'naltiruvchilar).
• Ichki foydalanuvchi yoki tashkilot identifikatorlari API hisobiga ulangan.

Ushbu vositalar to'plamining o'zi hech kimga hisobni boshqarishga yoki foydalanuvchi nomidan API qo'ng'iroqlarini amalga oshirishga imkon bermaydi, lekin u foydalanuvchi kimligi, ular qanday ulanishi va xizmatdan qanday foydalanishi haqida to'liq ma'lumot beradi. Ixtisoslashgan hujumchi uchun ijtimoiy muhandislikUshbu ma'lumotlar juda ishonchli elektron pochta yoki xabarlarni tayyorlashda sof oltin bo'lishi mumkin.

Shu bilan birga, OpenAI ma'lumotlar bloki mavjudligini ta'kidlaydi buzilmaganKompaniya ma'lumotlariga ko'ra, ular xavfsiz:

• Chat suhbatlari ChatGPT bilan, shu jumladan takliflar va javoblar.
• API so'rovlari va foydalanish jurnallari (hosil qilingan tarkib, texnik parametrlar va boshqalar).
• Parollar, hisob ma'lumotlari va API kalitlari hisoblardan.
• To'lov haqida ma'lumot, masalan, karta raqamlari yoki hisob-kitob ma'lumotlari.
• Rasmiy shaxsni tasdiqlovchi hujjatlar yoki boshqa o'ta nozik ma'lumotlar.

Boshqacha qilib aytganda, hodisa doirasiga kiradi identifikatsiyalash va kontekstual ma'lumotlarAmmo u AI bilan suhbatlarga ham, uchinchi tomonga to'g'ridan-to'g'ri hisoblarda ishlashga imkon beradigan kalitlarga ham tegmadi.

Asosiy xavflar: fishing va ijtimoiy muhandislik

Agar tajovuzkorda parollar yoki API kalitlari bo'lmasa ham, ularga ega bo'lish ism, elektron pochta manzili, joylashuvi va ichki identifikatorlari ishga tushirish imkonini beradi firibgarlik kampaniyalari ancha ishonchli. Bu erda OpenAI va xavfsizlik bo'yicha mutaxassislar o'z sa'y-harakatlarini jamlashmoqda.

Jadvaldagi ushbu ma'lumotlar bilan qonuniy ko'rinadigan xabarni yaratish oson: OpenAI-ning muloqot uslubiga taqlid qiluvchi elektron pochta xabarlariUlar API haqida eslatib o'tadilar, foydalanuvchi nomidan iqtibos keltiradilar va hatto o'z shahri yoki mamlakatiga ishora qilib, ogohlantirishni yanada haqiqiyroq qilishadi. Agar soxta veb-saytda foydalanuvchini o'z hisob ma'lumotlarini topshirish uchun aldasangiz, infratuzilmaga hujum qilishning hojati yo'q.

Eng mumkin bo'lgan stsenariylar urinishlarni o'z ichiga oladi klassik fishing ("Hisob qaydnomasini tekshirish" uchun taxmin qilingan API boshqaruv panellariga havolalar) va API'dan intensiv ravishda foydalanadigan kompaniyalardagi tashkilotlar yoki IT guruhlari ma'murlariga qaratilgan yanada rivojlangan ijtimoiy muhandislik texnikasi orqali.

Evropada bu nuqta to'g'ridan-to'g'ri GDPR talablariga bog'liq ma'lumotlarni minimallashtirishYevropa ommaviy axborot vositalarida keltirilgan OX Security jamoasi kabi ba'zi kiberxavfsizlik mutaxassislari mahsulot tahlili uchun zarur bo'lganidan ko'ra ko'proq ma'lumot to'plash, masalan, elektron pochta xabarlari yoki batafsil joylashuv ma'lumotlari - qayta ishlangan ma'lumotlar miqdorini imkon qadar cheklash majburiyatiga zid kelishi mumkinligini ta'kidlamoqda.

OpenAIning javobi: Mixpanel bilan tanaffus va batafsil ko'rib chiqish

OpenAI hodisaning texnik tafsilotlarini olgach, u qat'iy javob berishga harakat qildi. Birinchi chora edi Mixpanel integratsiyasini butunlay olib tashlang provayder foydalanuvchilar tomonidan yaratilgan yangi ma'lumotlarga kirish imkoniga ega bo'lmasligi uchun uning barcha ishlab chiqarish xizmatlari.

Shu bilan birga, kompaniya ma'lum qiladi ta'sirlangan ma'lumotlar to'plamini sinchkovlik bilan ko'rib chiqmoqda har bir hisob va tashkilotga haqiqiy ta'sirni tushunish. Ana shu tahlilga asoslanib, ular buni boshladilar alohida xabar beradi tajovuzkor tomonidan eksport qilingan ma'lumotlar to'plamida paydo bo'ladigan administratorlar, kompaniyalar va foydalanuvchilarga.

OpenAI ham u boshlanganini da'vo qilmoqda ularning barcha tizimlarida va boshqa barcha tashqi provayderlarda qo'shimcha xavfsizlik tekshiruvlari kim bilan ishlaydi. Maqsad - himoya talablarini oshirish, shartnoma bandlarini kuchaytirish va ushbu uchinchi tomonlar ma'lumotni qanday to'plashi va saqlashini yanada qattiqroq tekshirish.

Kompaniya o'z xabarlarida ta'kidlaydi "ishonch, xavfsizlik va maxfiylikBu ularning missiyasining markaziy elementlari. Ritorikadan tashqari, bu holat ikkinchi darajali agentning buzilishi ChatGPT kabi massiv xizmatning qabul qilingan xavfsizligiga qanday bevosita ta'sir qilishi mumkinligini ko'rsatadi.

Ispaniya va Evropadagi foydalanuvchilar va bizneslarga ta'siri

Evropa kontekstida, bu erda GDPR va kelajakdagi AIga xos qoidalar Ular ma'lumotlarni himoya qilish uchun yuqori chiziq qo'yishadi va bu kabi hodisalar sinchkovlik bilan tekshiriladi. Yevropa Ittifoqi ichidan OpenAI API-dan foydalanadigan har qanday kompaniya uchun analitik provayder tomonidan ma'lumotlarning buzilishi unchalik muhim emas.

Bir tomondan, APIning bir qismi bo'lgan Evropa ma'lumotlar boshqaruvchilari majbur bo'ladi ularning ta'sirini baholash va faoliyat jurnallarini ko'rib chiqing Mixpanel kabi provayderlardan foydalanish qanday tasvirlanganligini va o'z foydalanuvchilariga taqdim etilgan ma'lumotlar etarlicha aniq yoki yo'qligini tekshirish.

Boshqa tomondan, korporativ elektron pochta xabarlari, manzillar va tashkiliy identifikatorlarning fosh etilishi eshigini ochadi. Rivojlanish guruhlari, IT bo'limlari yoki AI loyiha menejerlariga qarshi maqsadli hujumlarBu nafaqat individual foydalanuvchilar uchun, balki muhim biznes jarayonlarini OpenAI modellariga asoslaydigan kompaniyalar uchun ham mumkin bo'lgan xavflar haqida.

Ispaniyada bu turdagi bo'shliq radarga tushmoqda Ispaniya ma'lumotlarini himoya qilish agentligi (AEPD) ular rezident fuqarolarga yoki davlat hududida tashkil etilgan yuridik shaxslarga ta'sir qilganda. Agar zarar ko'rgan tashkilotlar sizib chiqish shaxslarning huquq va erkinliklariga xavf tug'diradi deb hisoblasa, ular buni baholashlari va kerak bo'lganda vakolatli organni xabardor qilishlari shart.

Hisobingizni himoya qilish bo'yicha amaliy maslahatlar

Texnik tushuntirishlardan tashqari, ko'p foydalanuvchilar bilishni xohlaydigan narsa Ular hozir nima qilishlari kerak?OpenAI parolni o'zgartirish muhim emasligini ta'kidlaydi, chunki u sizib chiqmagan, biroq ko'pchilik ekspertlar qo'shimcha ehtiyotkorlik qatlamini qo'llashni tavsiya qiladi.

Agar siz OpenAI API-dan foydalansangiz yoki xavfsiz tomonda bo'lishni istasangiz, bir qator asosiy qadamlarni bajarish tavsiya etiladi. Ular xavfni sezilarli darajada kamaytiradi tajovuzkor sizib chiqqan ma'lumotlardan foydalanishi mumkin:

• Kutilmagan elektron pochta xabarlaridan ehtiyot bo'ling OpenAI yoki API bilan bog'liq xizmatlar, ayniqsa ular "shoshilinch tekshirish", "xavfsizlik hodisasi" yoki "hisob blokirovkasi" kabi atamalarni eslatib o'tgan bo'lsa.
• Har doim jo'natuvchining manzilini tekshiring va bosishdan oldin havolalar ko'rsatadigan domen. Agar shubhangiz bo'lsa, unga qo'lda kirish yaxshidir. platform.openai.com URL manzilini brauzerga kiriting.
• Ko'p faktorli autentifikatsiyani yoqish (MFA/2FA) OpenAI hisob qaydnomangizda va boshqa har qanday nozik xizmatda. Kimdir sizning parolingizni aldash orqali qo'lga kiritsa ham, bu juda samarali to'siqdir.
• Parollar, API kalitlari yoki tasdiqlash kodlarini baham ko'rmang elektron pochta, chat yoki telefon orqali. OpenAI foydalanuvchilarga hech qachon tekshirilmagan kanallar orqali bunday turdagi ma'lumotlarni so'ramasligini eslatadi.
• Qiymat parolingizni o'zgartiring Agar siz API-ning og'ir foydalanuvchisi bo'lsangiz yoki uni boshqa xizmatlarda qayta ishlatishga moyil bo'lsangiz, odatda undan qochish yaxshidir.

Kompaniyalarda ishlaydigan yoki bir nechta ishlab chiquvchilar bilan loyihalarni boshqaradiganlar uchun bu yaxshi vaqt bo'lishi mumkin ichki xavfsizlik siyosatini ko'rib chiqishAPI kirish ruxsatlari va hodisalarga javob berish tartib-qoidalari, ularni kiberxavfsizlik guruhlari tavsiyalari bilan muvofiqlashtirish.

Ma'lumotlar, uchinchi shaxslar va AIga ishonch bo'yicha saboqlar

Mixpanelning oqishi so'nggi yillardagi boshqa yirik hodisalar bilan solishtirganda cheklangan edi, ammo bu bir vaqtning o'zida sodir bo'ldi. Generativ AI xizmatlari odatiy holga aylandi Bu jismoniy shaxslarga ham, Yevropa kompaniyalariga ham tegishli. Har safar kimdir ro'yxatdan o'tganda, API-ni birlashtirganda yoki bunday vositaga ma'lumot yuklaganida, ular raqamli hayotining muhim qismini uchinchi shaxslarga ishonib topshiradi.

Bu holat o'rgatadigan saboqlardan biri bu zaruratdir tashqi provayderlar bilan baham ko'rilgan shaxsiy ma'lumotlarni minimallashtirishBa'zi ekspertlarning ta'kidlashicha, hatto qonuniy va taniqli kompaniyalar bilan ishlashda ham, asosiy muhitni tark etadigan har bir identifikatsiya qilinadigan ma'lumotlar bo'lagi yangi potentsial ta'sir nuqtasini ochadi.

Shuningdek, u qay darajada ekanligini ta'kidlaydi shaffof aloqa Bu kalit. OpenAI keng ma'lumotni taqdim etishni tanladi, hattoki zarar ko'rmagan foydalanuvchilarga elektron pochta xabarlarini jo'natib yubordi, bu biroz tashvish tug'dirishi mumkin, ammo o'z navbatida ma'lumot etishmasligidan shubhalanish uchun kamroq joy qoldiradi.

AI ma'muriy tartib-qoidalar, bank, sog'liqni saqlash, ta'lim va Evropada masofaviy ish bilan birlashtirilishini davom ettiradigan stsenariyda bu kabi hodisalar shuni eslatib turadi Xavfsizlik faqat asosiy provayderga bog'liq emas.balki uning orqasida joylashgan kompaniyalarning butun tarmog'i. Va agar ma'lumotlar buzilishi parollar yoki suhbatlarni o'z ichiga olmasa ham, asosiy himoya odatlari qabul qilinmasa, firibgarlik xavfi juda real bo'lib qoladi.

ChatGPT va Mixpanel buzilishi bilan sodir bo'lgan hamma narsa, hatto nisbatan cheklangan oqish ham qanday jiddiy oqibatlarga olib kelishi mumkinligini ko'rsatadi: bu OpenAI-ni uchinchi tomonlar bilan munosabatlarini qayta ko'rib chiqishga majbur qiladi, Yevropa kompaniyalari va ishlab chiquvchilarni xavfsizlik amaliyotlarini ko'rib chiqishga undaydi va foydalanuvchilarga hujumlarga qarshi asosiy himoyasi xabardor bo'lib turishini eslatadi. ular olgan elektron pochta xabarlarini kuzatib borish va ularning hisoblarini himoya qilishni kuchaytirish.

Alberto navarro

Men o'zining "geek" qiziqishlarini kasbga aylantirgan texnologiya ishqiboziman. Men hayotimning 10 yildan ko'prog'ini ilg'or texnologiyalardan foydalanish va qiziquvchanlik tufayli har xil dasturlar bilan shug'ullanishga sarfladim. Hozir men kompyuter texnologiyalari va video o'yinlarga ixtisoslashganman. Buning sababi, 5 yildan ortiq vaqt davomida men texnologiya va video o'yinlar bo'yicha turli veb-saytlar uchun yozaman, sizga kerakli ma'lumotlarni hamma uchun tushunarli tilda berishga intiladigan maqolalar yarataman.

Agar sizda biron bir savol bo'lsa, mening bilimlarim Windows operatsion tizimiga, shuningdek, mobil telefonlar uchun Androidga tegishli. Va mening majburiyatim sizga, men har doim bir necha daqiqa sarflashga va ushbu internet olamidagi barcha savollaringizni hal qilishga yordam berishga tayyorman.