Vi phạm dữ liệu ChatGPT: điều gì đã xảy ra với Mixpanel và nó ảnh hưởng đến bạn như thế nào

Người dùng của ChatGPT Trong vài giờ qua, họ đã nhận được một email khiến nhiều người phải ngạc nhiên: OpenAI báo cáo một vụ vi phạm dữ liệu liên quan đến nền tảng API của mìnhLời cảnh báo đã đến được với đông đảo quần chúng, bao gồm cả những người không bị ảnh hưởng trực tiếp, điều này đã tạo ra một số nhầm lẫn về phạm vi thực tế của sự việc.

Điều mà công ty đã xác nhận là đã có một truy cập trái phép vào thông tin của một số khách hàngNhưng vấn đề không nằm ở máy chủ của OpenAI, mà là ở... Mixpanel, một nhà cung cấp dịch vụ phân tích web của bên thứ ba đã thu thập số liệu sử dụng giao diện API trong platform.openai.comMặc dù vậy, vụ việc này lại đưa vấn đề trở lại hàng đầu. tranh luận về cách dữ liệu cá nhân được quản lý trong các dịch vụ trí tuệ nhân tạo, cũng ở Châu Âu và dưới sự bảo trợ của RGPD.

Một lỗi trong Mixpanel, không phải trong hệ thống của OpenAI

Theo chi tiết của OpenAI trong tuyên bố của mình, sự cố bắt nguồn từ Tháng Mười Một 9khi Mixpanel phát hiện ra rằng kẻ tấn công đã có quyền truy cập truy cập trái phép vào một phần cơ sở hạ tầng của nó và đã xuất một tập dữ liệu được sử dụng để phân tích. Trong những tuần đó, nhà cung cấp đã tiến hành một cuộc điều tra nội bộ để xác định thông tin nào đã bị xâm phạm.

Khi Mixpanel trở nên rõ ràng hơn, chính thức thông báo cho OpenAI vào ngày 25 tháng 11gửi tập dữ liệu bị ảnh hưởng để công ty có thể đánh giá tác động đối với khách hàng của mình. Chỉ sau đó OpenAI mới bắt đầu tham chiếu chéo dữ liệu, xác định các tài khoản có khả năng liên quan và chuẩn bị thông báo qua email gửi đến hàng nghìn người dùng trên toàn thế giới hiện nay.

OpenAI khẳng định rằng Không có sự xâm nhập nào vào máy chủ, ứng dụng hoặc cơ sở dữ liệu của họKẻ tấn công không truy cập được vào ChatGPT hay hệ thống nội bộ của công ty, mà là vào môi trường của nhà cung cấp đang thu thập dữ liệu phân tích. Tuy nhiên, hậu quả thực tế đối với người dùng cuối vẫn như nhau: một số dữ liệu của họ đã bị rò rỉ đến nơi không mong muốn.

Những loại kịch bản này thuộc phạm vi được biết đến trong an ninh mạng là một cuộc tấn công vào chuỗi cung ứng kỹ thuật sốThay vì tấn công trực tiếp vào nền tảng lớn, tội phạm nhắm vào bên thứ ba xử lý dữ liệu từ nền tảng đó và thường có biện pháp kiểm soát bảo mật kém nghiêm ngặt hơn.

Những người dùng nào thực sự bị ảnh hưởng

Một trong những điểm gây nhiều nghi ngờ nhất là ai thực sự nên lo ngại. Về điểm này, OpenAI đã nói khá rõ ràng: Khoảng cách này chỉ ảnh hưởng đến những người sử dụng OpenAI API thông qua web platform.openai.comNghĩa là, chủ yếu là các nhà phát triển, công ty và tổ chức tích hợp các mô hình của công ty vào các ứng dụng và dịch vụ của riêng họ.

Người dùng chỉ sử dụng phiên bản ChatGPT thông thường trên trình duyệt hoặc ứng dụng, cho các truy vấn hoặc nhiệm vụ cá nhân thỉnh thoảng, Họ sẽ không bị ảnh hưởng trực tiếp vì sự cố này, như công ty đã khẳng định trong tất cả các tuyên bố của mình. Tuy nhiên, vì lý do minh bạch, OpenAI đã quyết định gửi email thông tin một cách rộng rãi, điều này đã góp phần gây hoang mang cho nhiều người không liên quan.

Trong trường hợp của API, thông thường đằng sau nó có các dự án chuyên nghiệp, tích hợp doanh nghiệp hoặc sản phẩm thương mạiĐiều này cũng áp dụng cho các công ty châu Âu. Theo thông tin được cung cấp, các tổ chức sử dụng nhà cung cấp này bao gồm cả các công ty công nghệ lớn và các công ty khởi nghiệp nhỏ, củng cố quan điểm rằng bất kỳ bên nào trong hệ sinh thái số đều dễ bị tổn thương khi thuê ngoài dịch vụ phân tích hoặc giám sát.

Về mặt pháp lý, điều này có liên quan đến khách hàng châu Âu vì đây là hành vi vi phạm người phụ trách điều trị (Mixpanel) xử lý dữ liệu thay mặt cho OpenAI. Điều này yêu cầu phải thông báo cho các tổ chức bị ảnh hưởng và, nếu cần, cho các cơ quan bảo vệ dữ liệu, theo quy định của GDPR.

Dữ liệu nào đã bị rò rỉ và dữ liệu nào vẫn an toàn

Từ góc nhìn của người dùng, câu hỏi lớn là loại thông tin nào đã bị bỏ sót. OpenAI và Mixpanel đều đồng ý rằng... dữ liệu hồ sơ và dữ liệu đo từ xa cơ bản, hữu ích cho việc phân tích, nhưng không hữu ích cho nội dung tương tác với AI hoặc thông tin xác thực truy cập.

Giữa dữ liệu có khả năng bị lộ Các yếu tố sau đây liên quan đến tài khoản API:

• tên được cung cấp khi đăng ký tài khoản trong API.
• Địa chỉ email liên quan đến tài khoản đó.
• Vị trí gần đúng (thành phố, tỉnh hoặc tiểu bang và quốc gia), được suy ra từ trình duyệt và địa chỉ IP.
• Hệ điều hành và trình duyệt được sử dụng để truy cập platform.openai.com.
• Các trang web tham khảo (người giới thiệu) mà từ đó giao diện API được tiếp cận.
• Mã định danh người dùng hoặc tổ chức nội bộ được liên kết với tài khoản API.

Bộ công cụ này không cho phép bất kỳ ai kiểm soát tài khoản hoặc thực hiện lệnh gọi API thay mặt người dùng, nhưng nó cung cấp hồ sơ khá đầy đủ về người dùng, cách họ kết nối và cách họ sử dụng dịch vụ. Đối với một kẻ tấn công chuyên về kỹ thuật xã hộiDữ liệu này có thể là vàng ròng khi soạn email hoặc tin nhắn cực kỳ thuyết phục.

Đồng thời, OpenAI nhấn mạnh rằng có một khối thông tin chưa bị xâm phạmTheo công ty, chúng vẫn an toàn:

• Cuộc trò chuyện với ChatGPT, bao gồm lời nhắc và phản hồi.
• Yêu cầu API và nhật ký sử dụng (nội dung được tạo, thông số kỹ thuật, v.v.).
• Mật khẩu, thông tin đăng nhập và khóa API của các tài khoản.
• Thông tin thanh toánchẳng hạn như số thẻ hoặc thông tin thanh toán.
• Giấy tờ tùy thân chính thức hoặc thông tin đặc biệt nhạy cảm khác.

Nói cách khác, sự cố nằm trong phạm vi của dữ liệu xác định và theo ngữ cảnhNhưng nó vẫn chưa đề cập đến các cuộc trò chuyện với AI hoặc các khóa cho phép bên thứ ba thao tác trực tiếp trên các tài khoản.

Rủi ro chính: lừa đảo và kỹ thuật xã hội

Ngay cả khi kẻ tấn công không có mật khẩu hoặc khóa API, việc có chúng tên, địa chỉ email, vị trí và mã định danh nội bộ cho phép khởi chạy các chiến dịch gian lận đáng tin cậy hơn nhiều. Đây chính là nơi OpenAI và các chuyên gia bảo mật đang tập trung nỗ lực.

Với những thông tin đó, thật dễ dàng để xây dựng một thông điệp có vẻ hợp lý: email mô phỏng phong cách giao tiếp của OpenAIChúng đề cập đến API, trích dẫn tên người dùng, và thậm chí ám chỉ đến thành phố hoặc quốc gia của họ để làm cho cảnh báo nghe có vẻ thật hơn. Không cần phải tấn công cơ sở hạ tầng nếu bạn có thể lừa người dùng cung cấp thông tin đăng nhập trên một trang web giả mạo.

Các kịch bản có khả năng xảy ra nhất liên quan đến những nỗ lực để lừa đảo cổ điển (liên kết đến các bảng quản lý API được cho là để “xác minh tài khoản”) và bằng các kỹ thuật kỹ thuật xã hội phức tạp hơn nhằm vào các quản trị viên của tổ chức hoặc nhóm CNTT trong các công ty sử dụng API thường xuyên.

Ở Châu Âu, điểm này liên quan trực tiếp đến các yêu cầu của GDPR về giảm thiểu dữ liệuMột số chuyên gia an ninh mạng, chẳng hạn như nhóm OX Security được trích dẫn trên phương tiện truyền thông châu Âu, chỉ ra rằng việc thu thập nhiều thông tin hơn mức cần thiết để phân tích sản phẩm—ví dụ: email hoặc dữ liệu vị trí chi tiết—có thể xung đột với nghĩa vụ hạn chế lượng dữ liệu được xử lý càng nhiều càng tốt.

Phản hồi của OpenAI: tạm dừng hợp tác với Mixpanel và đánh giá toàn diện

Sau khi nhận được thông tin chi tiết kỹ thuật về sự cố, OpenAI đã cố gắng phản ứng một cách quyết đoán. Biện pháp đầu tiên là xóa hoàn toàn tích hợp Mixpanel của tất cả các dịch vụ sản xuất của mình, do đó nhà cung cấp không còn quyền truy cập vào dữ liệu mới do người dùng tạo ra.

Đồng thời, công ty tuyên bố rằng đang xem xét kỹ lưỡng tập dữ liệu bị ảnh hưởng để hiểu tác động thực sự lên từng tài khoản và tổ chức. Dựa trên phân tích đó, họ đã bắt đầu thông báo riêng lẻ cho các quản trị viên, công ty và người dùng xuất hiện trong tập dữ liệu do kẻ tấn công xuất ra.

OpenAI cũng tuyên bố rằng họ đã bắt đầu kiểm tra bảo mật bổ sung trên tất cả các hệ thống của họ và với tất cả các nhà cung cấp bên ngoài khác hợp tác với bên thứ ba. Mục tiêu là nâng cao các yêu cầu bảo vệ, củng cố các điều khoản hợp đồng và kiểm toán chặt chẽ hơn cách các bên thứ ba này thu thập và lưu trữ thông tin.

Công ty nhấn mạnh trong thông tin liên lạc của mình rằng “sự tin cậy, bảo mật và quyền riêng tưĐây là những yếu tố cốt lõi trong sứ mệnh của ChatGPT. Bên cạnh những lời lẽ hoa mỹ, trường hợp này minh họa cách một lỗ hổng bảo mật tưởng chừng như thứ yếu có thể ảnh hưởng trực tiếp đến tính bảo mật của một dịch vụ lớn như ChatGPT.

Tác động đến người dùng và doanh nghiệp ở Tây Ban Nha và Châu Âu

Trong bối cảnh châu Âu, nơi mà GDPR và các quy định cụ thể về AI trong tương lai Họ đặt ra tiêu chuẩn cao về bảo vệ dữ liệu, và những sự cố như thế này đều được giám sát chặt chẽ. Đối với bất kỳ công ty nào sử dụng API OpenAI trong Liên minh Châu Âu, việc một nhà cung cấp dịch vụ phân tích dữ liệu bị xâm phạm không phải là chuyện nhỏ.

Một mặt, các bộ điều khiển dữ liệu châu Âu là một phần của API sẽ phải xem xét các đánh giá tác động và nhật ký hoạt động của họ để kiểm tra cách sử dụng các nhà cung cấp như Mixpanel được mô tả như thế nào và liệu thông tin cung cấp cho người dùng của họ có đủ rõ ràng hay không.

Mặt khác, việc tiết lộ email công ty, địa điểm và mã định danh tổ chức mở ra cánh cửa cho Các cuộc tấn công có mục tiêu vào các nhóm phát triển, bộ phận CNTT hoặc quản lý dự án AIVấn đề này không chỉ liên quan đến những rủi ro tiềm ẩn đối với người dùng cá nhân mà còn đối với các công ty xây dựng quy trình kinh doanh quan trọng dựa trên mô hình OpenAI.

Ở Tây Ban Nha, loại khoảng cách này đang xuất hiện trên radar của Cơ quan Bảo vệ Dữ liệu Tây Ban Nha (AEPD) khi chúng ảnh hưởng đến công dân hoặc tổ chức thường trú tại lãnh thổ quốc gia. Nếu các tổ chức bị ảnh hưởng cho rằng việc rò rỉ gây nguy hiểm cho quyền và tự do của cá nhân, họ có nghĩa vụ đánh giá vấn đề và, nếu cần, thông báo cho cơ quan có thẩm quyền.

Mẹo thực tế để bảo vệ tài khoản của bạn

Ngoài những giải thích kỹ thuật, điều mà nhiều người dùng muốn biết là Họ phải làm gì ngay bây giờ?OpenAI khẳng định rằng việc thay đổi mật khẩu không phải là điều cần thiết vì nó chưa bị rò rỉ, nhưng hầu hết các chuyên gia đều khuyên nên áp dụng thêm một lớp thận trọng.

Nếu bạn sử dụng API OpenAI hoặc chỉ muốn an toàn, bạn nên làm theo một loạt các bước cơ bản sau Họ giảm thiểu đáng kể rủi ro rằng kẻ tấn công có thể khai thác dữ liệu bị rò rỉ:

• Hãy cảnh giác với những email bất ngờ được cho là từ OpenAI hoặc các dịch vụ liên quan đến API, đặc biệt nếu chúng đề cập đến các thuật ngữ như "xác minh khẩn cấp", "sự cố bảo mật" hoặc "khóa tài khoản".
• Luôn kiểm tra địa chỉ người gửi và tên miền mà liên kết trỏ đến trước khi nhấp vào. Nếu bạn có bất kỳ thắc mắc nào, tốt nhất là truy cập thủ công. platform.openai.com nhập URL vào trình duyệt.
• Bật xác thực đa yếu tố (MFA/2FA) trên tài khoản OpenAI của bạn và bất kỳ dịch vụ nhạy cảm nào khác. Đây là một rào cản rất hiệu quả ngay cả khi ai đó lấy được mật khẩu của bạn bằng cách lừa đảo.
• Không chia sẻ mật khẩu, khóa API hoặc mã xác minh qua email, trò chuyện hoặc điện thoại. OpenAI nhắc nhở người dùng rằng họ sẽ không bao giờ yêu cầu loại dữ liệu này thông qua các kênh chưa được xác minh.
• Giá trị Thay đổi mật khẩu của bạn Nếu bạn là người dùng thường xuyên API hoặc có xu hướng tái sử dụng API trong các dịch vụ khác thì tốt nhất là nên tránh thực hiện điều này.

Đối với những người điều hành công ty hoặc quản lý các dự án với nhiều nhà phát triển, đây có thể là thời điểm tốt để xem xét các chính sách bảo mật nội bộQuyền truy cập API và quy trình ứng phó sự cố, phù hợp với các khuyến nghị của nhóm an ninh mạng.

Bài học về dữ liệu, bên thứ ba và niềm tin vào AI

Vụ rò rỉ Mixpanel đã bị hạn chế so với các sự cố lớn khác trong những năm gần đây, nhưng nó xảy ra vào thời điểm Các dịch vụ AI tạo sinh đã trở nên phổ biến Điều này áp dụng cho cả cá nhân và công ty châu Âu. Mỗi khi ai đó đăng ký, tích hợp API hoặc tải thông tin lên một công cụ như vậy, họ đang đặt một phần đáng kể cuộc sống số của mình vào tay bên thứ ba.

Một trong những bài học mà trường hợp này dạy là sự cần thiết phải giảm thiểu dữ liệu cá nhân được chia sẻ với các nhà cung cấp bên ngoàiMột số chuyên gia nhấn mạnh rằng, ngay cả khi làm việc với các công ty hợp pháp và nổi tiếng, mọi dữ liệu có thể nhận dạng được rời khỏi môi trường chính đều mở ra một điểm phơi bày tiềm ẩn mới.

Nó cũng làm nổi bật mức độ mà giao tiếp minh bạch Đây là điều then chốt. OpenAI đã chọn cách cung cấp thông tin rộng rãi, thậm chí gửi email cho những người dùng không bị ảnh hưởng, điều này có thể gây ra một số lo ngại nhưng đổi lại, sẽ giảm bớt nghi ngờ về việc thiếu thông tin.

Trong bối cảnh AI sẽ tiếp tục được tích hợp vào các thủ tục hành chính, ngân hàng, y tế, giáo dục và làm việc từ xa trên khắp châu Âu, những sự cố như thế này đóng vai trò như một lời nhắc nhở rằng Bảo mật không chỉ phụ thuộc vào nhà cung cấp chính.mà là toàn bộ mạng lưới các công ty đứng sau nó. Và ngay cả khi việc xâm phạm dữ liệu không bao gồm mật khẩu hay các cuộc trò chuyện, nguy cơ gian lận vẫn rất hiện hữu nếu các biện pháp bảo vệ cơ bản không được áp dụng.

Mọi thứ xảy ra với vụ vi phạm ChatGPT và Mixpanel cho thấy ngay cả một vụ rò rỉ tương đối hạn chế cũng có thể gây ra hậu quả đáng kể: nó buộc OpenAI phải xem xét lại mối quan hệ với bên thứ ba, thúc đẩy các công ty và nhà phát triển châu Âu xem xét lại các hoạt động bảo mật của họ và nhắc nhở người dùng rằng biện pháp phòng thủ chính của họ chống lại các cuộc tấn công vẫn là cập nhật thông tin. theo dõi các email họ nhận được và tăng cường bảo vệ tài khoản của họ.