Исследователи искусственного интеллекта в Microsoft случайно слили 38 ТБ данных

По данным The Hacker News , Wiz Research — стартап, занимающийся облачной безопасностью — недавно обнаружил утечку данных в репозитории Microsoft AI GitHub, которая, как сообщается, была случайно раскрыта при публикации группы обучающих данных с открытым исходным кодом.

Утечка данных включает резервную копию рабочих станций двух бывших сотрудников Microsoft с секретными ключами, паролями и более 30 000 внутренних сообщений приложения Teams.

Репозиторий, который называется «robust-models-transfer», теперь недоступен. До того, как его закрыли, в нем содержался исходный код и модели машинного обучения, связанные с исследовательской работой 2020 года.

Wiz заявил, что утечка данных произошла из-за чрезмерно уязвимого токена SAS, функции в Azure, которая позволяет пользователям обмениваться данными, которые трудно отслеживать и трудно отзывать. Об инциденте было сообщено Microsoft 22 июня 2023 года.

Соответственно, файл README.md репозитория предписывал разработчикам загружать модели с URL-адреса хранилища Azure, непреднамеренно предоставляя доступ ко всей учетной записи хранилища и тем самым раскрывая дополнительные конфиденциальные данные.

В дополнение к чрезмерному доступу, токен SAS также был неправильно настроен, предоставляя полный контроль, а не только доступ для чтения, говорят исследователи Wiz. Если бы это было использовано, злоумышленник мог бы не только просматривать, но и удалять и перезаписывать все файлы в учетной записи хранения.

В ответ на отчет Microsoft заявила, что ее расследование не нашло никаких доказательств раскрытия данных клиентов, а также не выявило никаких других внутренних служб, подвергшихся риску в результате инцидента. Компания подчеркнула, что клиентам не нужно предпринимать никаких действий, и заявила, что отозвала токены SAS и заблокировала весь внешний доступ к учетным записям хранения.

Чтобы снизить подобные риски, Microsoft расширила свою секретную службу сканирования, чтобы искать любые токены SAS, которые могут иметь ограниченные или чрезмерные привилегии. Она также обнаружила ошибку в системе сканирования, которая помечала URL-адреса SAS в репозитории как ложные срабатывания.

Исследователи говорят, что из-за отсутствия безопасности и управления токенами учетных записей SAS мерой предосторожности является избежание их использования для внешнего обмена. Ошибки генерации токенов можно легко обойти и раскрыть конфиденциальные данные.

Ранее, в июле 2022 года, JUMPSEC Labs раскрыла угрозу, которая может использовать эти учетные записи для получения доступа к компаниям.

Các nhà nghiên cứu AI tại Microsoft vô tình lộ 38TB dữ liệu - Ảnh 1. — Wiz Research обнаружила в резервной копии конфиденциальные файлы

Это последнее нарушение безопасности Microsoft, 2 недели назад компания также сообщила, что хакеры из Китая проникли и украли ключи высокой безопасности. Хакеры завладели учетной записью инженера этой корпорации и получили доступ к хранилищу цифровых подписей пользователя.

Последний инцидент показывает потенциальные риски внедрения ИИ в крупные системы, говорит Ами Люттвак, технический директор Wiz CTO, который утверждает, что ИИ предлагает огромный потенциал для технологических компаний. Однако, поскольку специалисты по данным и инженеры спешат внедрять новые решения ИИ, огромные объемы данных, которые они обрабатывают, требуют дополнительных проверок безопасности и мер защиты.

Поскольку многим командам разработчиков приходится работать с огромными объемами данных, делиться этими данными с коллегами или сотрудничать в рамках публичных проектов с открытым исходным кодом, отслеживать и предотвращать такие инциденты, как в случае с Microsoft, становится все сложнее.

Ссылка на источник