Nedavni tekst Jazz Securitya prolazi kroz stvarne primjere curenja podataka putem AI-ja, od Samsungovih inženjera koji su zalijepili kod u ChatGPT do incidenata EchoLeak i Salesloft Drift. Za svaki slučaj obrađuje tko je otkrio problem, njegov trenutni status i kontrolu koja je mogla uočiti ili ograničiti izloženost. Slučajevi se razlikuju u tehničkim detaljima, ali dijele zajedničku temu: curenja nisu započela egzotičnim napadima. Započela su rutinskim ponašanjem i pouzdanim vezama.

Ovaj se post oslanja na taj sažetak i urednički kut koji stoji za njim. Izvorni materijal koji nam je dostupan je kratak, pa se držimo širokih obrazaca koje opisuje umjesto da dodajemo tehničke pojedinosti koje ne možemo provjeriti.

Što se dogodilo u curenjima Samsung, EchoLeak i Salesloft Drift

Tri slučaja pokrivaju tri različita načina na koje dolazi do izloženosti podataka povezane s AI-jem.

Samsung. Inženjeri su zalijepili kod u ChatGPT. Haker nije bio potreban. Zaposlenici su koristili javni chatbot kao radni alat, a osjetljivi materijal izašao je iz kontrole tvrtke u trenutku kada je poslan.

EchoLeak. Ovaj se incident svrstava uz ostale kao primjer AI značajke koja izlaže podatke načinom na koji obrađuje sadržaj i povezuje se s drugim informacijama. Pokazuje da rizik nije ograničen na ono što osoba upisuje. Važan je i pristup samog AI sustava podacima.

Salesloft Drift. Ovaj je slučaj uključivao povezane OAuth integracije. OAuth omogućuje jednoj aplikaciji pristup podacima u drugoj bez dijeljenja lozinke. To je praktično, ali kada je povezana usluga kompromitirana, pristupni tokeni koje drži mogu postati put u svaki račun s kojim je bila povezana.

Tekst Jazz Securitya također bilježi tko je otkrio svaki slučaj i u kojem je stanju danas. Za čitatelje je korisniji zaključak uparivanje svakog slučaja s kontrolom: nečim što je moglo pružiti uvid u aktivnost ili ograničiti dokle su podaci stigli.

Primjeri curenja podataka putem AI-ja: kako je svakodnevna upotreba AI-ja izložila podatke

Ono što se ističe u ovim primjerima curenja podataka putem AI-ja jest koliko su obične bile početne točke.

Lijepljenje teksta u chatbot doima se kao korištenje tražilice ili aplikacije za bilješke. Ne doima se kao slanje podataka trećoj strani. Taj jaz između percepcije i stvarnosti mjesto je gdje se događa curenje u stilu Samsunga. Nakon što se informacija pošalje, općenito imate ograničen uvid u to gdje je pohranjena ili tko joj može pristupiti prema uvjetima usluge.

Povezane aplikacije rade na isti način. Dodjela pristupa integraciji zahtijeva nekoliko klikova, a dopuštenje često stoji netaknuto mjesecima ili godinama. Ako je pružatelj iza te integracije kompromitiran, izloženost doseže podatke koje ste možda zaboravili da ste podijelili.

AI asistenti dodaju treći sloj. Kada alat može čitati vašu e-poštu, dokumente ili poruke kako bi bio koristan, sve što može pročitati potencijalno je u igri ako se alat ponaša na neželjeni način. Primjer EchoLeak ilustrira zašto je opseg pristupa jednako važan kao i kvaliteta samog AI-ja.

Što su izgubili pogođeni ljudi i organizacije

Pojedinosti se razlikuju od slučaja do slučaja i nećemo nagađati brojke koje sažetak izvora ne navodi. Općenito govoreći, izloženost spada u nekoliko kategorija:

  • Vlasničke informacije. Izvorni kod i interni materijal unesen u javni chatbot više se ne mogu smatrati privatnima.
  • Poslovni podaci i podaci kupaca. Kompromitacije povezanih aplikacija mogu izložiti zapise pohranjene na povezanim platformama, što pogađa kupce i kontakte uključenih organizacija, a ne samo same organizacije.
  • Kontrola i vidljivost. U mnogim incidentima trajna šteta nije samo u podacima, nego i u gubitku jasne slike o tome kamo su otišli.

Taj se obrazac pojavljuje i izvan poslovnih okruženja. Suno data breach, koji je izložio osobne podatke više od 55 milijuna korisnika i nikada im nije bio objavljen, pokazuje kako AI usluga koja drži korisničke podatke može postati točka izloženosti čak i kada korisnici nisu učinili ništa neobično.

Što to znači za vas

Ne morate raditi u velikoj tvrtki da bi se ove lekcije primijenile. Pojedinci svakodnevno lijepe osobne dokumente, medicinska pitanja, ugovore i radne nacrte u chatbote. Mnogi također povezuju AI alate i druge aplikacije s e-poštom, kalendarima i pohranom u oblaku.

Praktična je poanta da vaša izloženost ovisi o dvjema stvarima koje kontrolirate: što predajete AI usluzi i kakav pristup ostavljate uključenim. Ni za jedno ni za drugo nije potrebna tehnička stručnost. Širi kontekst o tome kako AI mijenja sliku prijetnji obrađen je u našem pregledu AI ransomwarea i manjkavih testnih modela koji cure podatke.

Navike koje ograničavaju vašu vlastitu izloženost AI-ju

  • Tretirajte upit chatbota kao e-poštu strancu. Ako to ne biste poslali izvan svoje organizacije ili kućanstva, nemojte to lijepiti.
  • Prvo uklonite identifikacijske pojedinosti. Zamijenite imena, brojeve računa, vjerodajnice i podatke o klijentima zamjenskim vrijednostima prije nego zatražite pomoć.
  • Provjerite svoju radnu politiku. Ako vaš poslodavac osigurava odobren AI alat, koristite ga umjesto osobnog računa. Ako politike nema, zatražite je.
  • Redovito pregledavajte povezane aplikacije. Otvorite stranicu sa sigurnosnim postavkama ili dopuštenjima svoje e-pošte, pohrane u oblaku i radnih računa te uklonite integracije koje više ne koristite.
  • Preferirajte uska dopuštenja. Kada aplikacija traži širok pristup, provjerite postoji li ograničenija opcija.
  • Pregledajte povijest razgovora i postavke podataka. Pogledajte što vaše AI usluge zadržavaju i možete li se odjaviti od korištenja za treniranje ili izbrisati prošle razgovore.
  • Koristite jedinstvene lozinke i višefaktorsku autentifikaciju. One ne zaustavljaju svako curenje, ali ograničavaju do čega izloženi račun može dovesti.

Ključni zaključci

Primjeri curenja podataka putem AI-ja iz Samsunga, EchoLeaka i Salesloft Drifta upućuju na isti zaključak: najveće izloženosti često proizlaze iz praktičnosti, a ne sofisticiranih napada. Započnite revizijom onoga što lijepite u chatbote, zatim pregledajte svoje povezane aplikacije i opozovite pristup onome što vam ne treba. Za još jedan primjer izloženosti podataka AI usluge pročitajte o Suno breachu, a za širi kontekst o riziku povezanom s AI-jem pogledajte našu reportažu o AI ransomwareu. Nekoliko minuta pregleda sada daleko je lakše nego kasnije pokušavati otkriti kamo su otišli vaši podaci.