Ένας εσφαλμένα ρυθμισμένος κάδος αποθήκευσης στο 302.ai άφησε 17,6 εκατομμύρια αρχεία ανοιχτά σε οποιονδήποτε τον εντόπιζε, σύμφωνα με έρευνα του Cybernews. Μεταξύ τους ήταν περισσότερα από 144.000 αρχεία καταγραφής συνομιλιών AI που περιείχαν προσωπικές πληροφορίες. Η διαρροή δεδομένων του 302.ai με αρχεία καταγραφής συνομιλιών AI αποτελεί μια εύστοχη υπενθύμιση ότι αυτό που πληκτρολογείτε σε ένα εργαλείο AI είναι τόσο ιδιωτικό όσο η αποθήκευση πίσω από αυτό.
Η αναφορά για το περιστατικό λέει ότι δεν επιβεβαιώθηκε κακόβουλη πρόσβαση. Αυτό είναι καθησυχαστικό, αλλά δεν σημαίνει ότι τα αρχεία ήταν ασφαλή με οποιαδήποτε ουσιαστική έννοια, όπως εξηγούμε παρακάτω.
Τι βρήκε το Cybernews στον κάδο του 302.ai
Ερευνητές του Cybernews ανακάλυψαν ότι ένας κάδος αποθήκευσης που συνδεόταν με το 302.ai ήταν δημόσια προσβάσιμος. Η έκθεση κάλυπτε 17,6 εκατομμύρια αρχεία, και η κύρια κάλυψη περιγράφει το σύνολο ως 22,7TB δεδομένων. Μέσα υπήρχαν περισσότερα από 144.000 αρχεία καταγραφής συνομιλιών AI που περιλάμβαναν προσωπικές πληροφορίες. Η κάλυψη της ιστορίας αναφέρει επίσης αρχεία καταγραφής υποστήριξης που σχετίζονται με ένα προϊόν για ενήλικες, γεγονός που δείχνει πόσο προσωπικό μπορεί να είναι μέρος του υλικού.
Η βασική λεπτομέρεια είναι το πώς συνέβη η έκθεση. Αυτό δεν περιγράφηκε ως μια εξεζητημένη εισβολή. Ένας κάδος αποθήκευσης που ήταν ανοιχτός στο διαδίκτυο σήμαινε ότι οποιοσδήποτε τον εντόπιζε μπορούσε να δει τα περιεχόμενα, χωρίς να απαιτείται hacking. Σύμφωνα με την αναφορά, δεν υπάρχει επιβεβαίωση ότι κάποιος κακόβουλος παράγοντας απέκτησε πρόσβαση στα δεδομένα.
Το υλικό πηγής δεν παρέχει περαιτέρω τεχνικές λεπτομέρειες, επομένως δεν είναι σαφές πόσο καιρό ο κάδος ήταν ανοιχτός ή αν κάθε αρχείο περιείχε ευαίσθητο περιεχόμενο. Αυτό που αναφέρεται είναι η κλίμακα και η παρουσία προσωπικών πληροφοριών στα αρχεία καταγραφής συνομιλιών.
Γιατί τα εκτεθειμένα αρχεία καταγραφής συνομιλιών AI αποτελούν κίνδυνο απορρήτου
Οι άνθρωποι τείνουν να μιλούν σε εργαλεία AI διαφορετικά από ό,τι μιλούν σε μηχανές αναζήτησης. Επικολλούν επαγγελματικά έγγραφα, περιγράφουν ανησυχίες για την υγεία, ζητούν συμβουλές για σχέσεις και μοιράζονται λεπτομέρειες που θα δίσταζαν να βάλουν σε ένα email. Όταν αυτές οι συνομιλίες αποθηκεύονται σε κοινή θέα, το περιεχόμενο μπορεί να αποκαλύψει πολλά για ένα άτομο.
Μερικοί λόγοι για τους οποίους τα αρχεία καταγραφής συνομιλιών χρειάζονται ιδιαίτερη προσοχή:
- Είναι γραμμένα σε φυσική γλώσσα. Ονόματα, διευθύνσεις και προσωπικές περιστάσεις συχνά εμφανίζονται στο πλαίσιο, γεγονός που τα καθιστά εύκολα στην ανάγνωση και δύσκολα στην απόκρυψη.
- Μπορούν να συνδεθούν με ένα άτομο. Ακόμη και χωρίς όνομα, οι λεπτομέρειες μέσα σε μια συνομιλία μπορούν να υποδείξουν ποιος την έγραψε.
- Σπάνια διαγράφονται. Πολλές πλατφόρμες διατηρούν το ιστορικό συνομιλιών για μεγάλα χρονικά διαστήματα, επομένως μια έκθεση μπορεί να φτάσει πολύ πίσω από την πρόσφατη δραστηριότητα.
- Τα αρχεία καταγραφής υποστήριξης προσθέτουν ένα δεύτερο επίπεδο. Τα αρχεία εξυπηρέτησης πελατών μπορούν να συνδέσουν μια συνομιλία με μια παραγγελία, έναν λογαριασμό ή ένα προϊόν, το οποίο μπορεί να είναι ντροπιαστικό ή ευαίσθητο.
Η "μη επιβεβαιωμένη κακόβουλη πρόσβαση" είναι επίσης μια περιορισμένη διαβεβαίωση. Εκτός εάν ένας πάροχος διαθέτει πλήρη αρχεία καταγραφής πρόσβασης για την περίοδο που ο κάδος ήταν ανοιχτός, μπορεί να είναι δύσκολο να αποδειχθεί ότι κανείς άλλος δεν κοίταξε. Οι αυτοματοποιημένοι σαρωτές αναζητούν συνεχώς ανοιχτούς κάδους, επομένως τα εκτεθειμένα δεδομένα συχνά ανακαλύπτονται γρήγορα.
Πόσο συχνά οι πλατφόρμες AI διαρρέουν δεδομένα μέσω εσφαλμένης ρύθμισης
Η περίπτωση του 302.ai ταιριάζει σε ένα μοτίβο υπηρεσιών που σχετίζονται με AI και εκθέτουν δεδομένα μέσω λαθών ρύθμισης παρά μέσω έξυπνων επιθέσεων. Η περίπτωση Vibetech είναι ένα πρόσφατο παράδειγμα: ένα ανασφαλές αποθετήριο άφησε εκατομμύρια εγγραφές ανοιχτές σε οποιονδήποτε με σύνδεση στο διαδίκτυο, όπως καλύπτεται στην αναφορά μας για τη βάση δεδομένων Vibetech που εκθέτει 13,7 εκατομμύρια εγγραφές.
Οι εταιρείες AI μπορούν επίσης να πληγούν από συμβατικές παραβιάσεις. Η κάλυψή μας για την παραβίαση της Suno που επηρεάζει 55 εκατομμύρια χρήστες δείχνει πόσο γρήγορα μια ταχέως αναπτυσσόμενη πλατφόρμα AI μπορεί να συσσωρεύσει μεγάλες ποσότητες δεδομένων χρηστών και πόσα από αυτά μπορούν να εκτεθούν ταυτόχρονα.
Το κοινό νήμα είναι η ταχύτητα. Τα προϊόντα AI συχνά κατασκευάζονται και κλιμακώνονται γρήγορα, και η αποθήκευση που προορίζεται να είναι ιδιωτική μπορεί να καταλήξει δημόσια μέσω μιας μόνο λανθασμένης ρύθμισης. Οι ερευνητές συνεχίζουν να τεκμηριώνουν πώς τα ελαττωματικά εργαλεία AI μπορούν να διαρρέουν δεδομένα, όπως συζητείται στο άρθρο μας για το AI ransomware και τα ελαττωματικά μοντέλα δοκιμών που διαρρέουν δεδομένα.
Τι σημαίνει αυτό για εσάς
Δεν μπορείτε να επιθεωρήσετε πώς ένας πάροχος AI διαμορφώνει την αποθήκευσή του, επομένως πρέπει να υποθέσετε ότι οτιδήποτε υποβάλλετε θα μπορούσε μια μέρα να εκτεθεί. Αυτό δεν σημαίνει αποφυγή εργαλείων AI. Σημαίνει να είστε προσεκτικοί σχετικά με το τι μοιράζεστε μαζί τους.
Εάν έχετε χρησιμοποιήσει μια λιγότερο γνωστή πλατφόρμα AI, ή μία που μεταπωλεί πρόσβαση σε άλλα μοντέλα, μπορεί να έχετε λιγότερη ορατότητα σχετικά με το ποιος αποθηκεύει τα δεδομένα σας και για πόσο καιρό. Ένα VPN δεν βοηθά εδώ: προστατεύει τη σύνδεσή σας κατά τη μεταφορά, αλλά δεν μπορεί να προστατεύσει δεδομένα που αποθηκεύει ένας πάροχος στους δικούς του διακομιστές.
Πώς να μειώσετε όσα γνωρίζουν τα εργαλεία AI για εσάς
Μπορείτε να μειώσετε την έκθεσή σας με μερικές συνήθειες:
- Κρατήστε ευαίσθητες λεπτομέρειες έξω από τα prompts. Αποφύγετε την επικόλληση κωδικών πρόσβασης, οικονομικών δεδομένων, ιατρικών πληροφοριών, αριθμών ταυτότητας ή εμπιστευτικών επαγγελματικών εγγράφων.
- Χρησιμοποιήστε placeholders. Αντικαταστήστε πραγματικά ονόματα και διευθύνσεις με γενικά υποκατάστατα όταν ζητάτε βοήθεια για σύνταξη ή επεξεργασία.
- Ελέγξτε τις ρυθμίσεις διατήρησης. Ελέγξτε αν η υπηρεσία αποθηκεύει ιστορικό και απενεργοποιήστε το ή διαγράψτε παλιές συνομιλίες όπου υπάρχει η επιλογή.
- Διαγράψτε ό,τι δεν χρειάζεστε πλέον. Αφαιρέστε παλιές συνομιλίες και μεταφορτωμένα αρχεία και κλείστε λογαριασμούς που δεν χρησιμοποιείτε πλέον.
- Χρησιμοποιήστε μοναδικούς κωδικούς πρόσβασης και έλεγχο ταυτότητας δύο παραγόντων. Εάν ένας λογαριασμός εκτεθεί, αυτό περιορίζει τη ζημιά σε άλλες υπηρεσίες.
- Προσέξτε για επακόλουθες απάτες. Οι διαρρεύσασες προσωπικές λεπτομέρειες μπορούν να τροφοδοτήσουν πειστικά μηνύματα phishing, επομένως αντιμετωπίστε τα απροσδόκητα αιτήματα με καχυποψία.
Βασικά συμπεράσματα
Η διαρροή δεδομένων του 302.ai με αρχεία καταγραφής συνομιλιών AI δείχνει ότι μια μόνο ρύθμιση αποθήκευσης μπορεί να εκθέσει εκατομμύρια αρχεία, ακόμη και όταν δεν επιβεβαιώνεται κανένας επιτιθέμενος. Αντιμετωπίστε τις συνομιλίες AI ως δυνητικά μόνιμα αρχεία, μοιραστείτε λιγότερα και καθαρίστε το ιστορικό που δεν χρειάζεστε. Για περισσότερα σχετικά με το πώς οι υπηρεσίες AI χειρίζονται και κακοδιαχειρίζονται δεδομένα χρηστών, διαβάστε την κάλυψή μας για την έκθεση της βάσης δεδομένων Vibetech και την παραβίαση της Suno.
