Sebuah bucket penyimpanan yang salah konfigurasi di 302.ai membuat 17,6 juta file terbuka bagi siapa pun yang menemukannya, menurut riset dari Cybernews. Di antaranya terdapat lebih dari 144.000 log chat AI yang berisi informasi pribadi. Kebocoran data 302.ai berupa log chat AI ini menjadi pengingat tajam bahwa apa yang Anda ketikkan ke alat AI hanya seprivat penyimpanan di baliknya.
Laporan mengenai insiden ini menyebutkan tidak ada akses berbahaya yang terkonfirmasi. Hal itu melegakan, tetapi bukan berarti file-file tersebut aman dalam arti yang berarti, sebagaimana kami jelaskan di bawah ini.
Apa yang ditemukan Cybernews di bucket 302.ai
Peneliti Cybernews menemukan bahwa bucket penyimpanan yang terkait dengan 302.ai dapat diakses publik. Paparan tersebut mencakup 17,6 juta file, dan liputan utama menggambarkan totalnya sebagai 22,7TB data. Di dalamnya terdapat lebih dari 144.000 log chat AI yang mencakup informasi pribadi. Liputan atas kisah ini juga menyoroti log dukungan terkait produk dewasa, yang menggambarkan betapa intimnya sebagian materi tersebut.
Detail kuncinya adalah bagaimana paparan itu terjadi. Ini tidak digambarkan sebagai intrusi canggih. Bucket penyimpanan yang terbuka ke internet berarti siapa pun yang menemukannya dapat melihat isinya, tanpa perlu peretasan. Menurut laporan tersebut, tidak ada konfirmasi bahwa pihak berbahaya mengakses data tersebut.
Sumber materi tidak memberikan detail teknis lebih lanjut, sehingga tidak jelas berapa lama bucket tersebut terbuka atau apakah setiap file berisi konten sensitif. Yang dilaporkan adalah skala dan keberadaan informasi pribadi dalam log chat.
Mengapa log chat AI yang terekspos merupakan risiko privasi
Orang cenderung berbicara kepada alat AI secara berbeda dibandingkan kepada mesin pencari. Mereka menempelkan dokumen kerja, menggambarkan kekhawatiran kesehatan, meminta saran hubungan, dan membagikan detail yang akan mereka ragukan untuk dimasukkan ke dalam email. Ketika percakapan tersebut disimpan di tempat terbuka, kontennya dapat mengungkap banyak hal tentang seseorang.
Beberapa alasan log chat memerlukan perhatian ekstra:
- Ditulis dalam bahasa alami. Nama, alamat, dan keadaan pribadi sering muncul dalam konteks, yang membuatnya mudah dibaca dan sulit disunting.
- Dapat dikaitkan dengan seseorang. Bahkan tanpa nama, detail di dalam percakapan dapat menunjukkan siapa penulisnya.
- Jarang dihapus. Banyak platform menyimpan riwayat percakapan untuk waktu yang lama, sehingga paparan dapat menjangkau jauh melampaui aktivitas terkini.
- Log dukungan menambah lapisan kedua. Catatan layanan pelanggan dapat mengaitkan chat dengan pesanan, akun, atau produk, yang mungkin memalukan atau sensitif.
"Tidak ada akses berbahaya yang terkonfirmasi" juga merupakan jaminan yang terbatas. Kecuali penyedia memiliki log akses lengkap untuk periode bucket tersebut terbuka, sulit untuk membuktikan bahwa tidak ada orang lain yang melihatnya. Pemindai otomatis terus mencari bucket terbuka, sehingga data yang terekspos sering ditemukan dengan cepat.
Seberapa sering platform AI membocorkan data melalui salah konfigurasi
Kasus 302.ai sesuai dengan pola layanan terkait AI yang mengekspos data melalui kesalahan penyiapan alih-alih serangan cerdik. Kasus Vibetech adalah contoh terbaru: repositori yang tidak aman membuat jutaan catatan terbuka bagi siapa pun yang memiliki koneksi internet, sebagaimana diliput dalam laporan kami tentang database Vibetech yang mengekspos 13,7 juta catatan.
Perusahaan AI juga dapat terkena pelanggaran konvensional. Liputan kami tentang pelanggaran Suno yang memengaruhi 55 juta pengguna menunjukkan betapa cepatnya platform AI yang tumbuh pesat dapat mengumpulkan data pengguna dalam jumlah besar, dan berapa banyak yang dapat terekspos sekaligus.
Benang merahnya adalah kecepatan. Produk AI sering dibangun dan diskalakan dengan cepat, dan penyimpanan yang dimaksudkan privat dapat berakhir menjadi publik karena satu pengaturan yang salah. Peneliti terus mendokumentasikan bagaimana perkakas AI yang cacat dapat membocorkan data, sebagaimana dibahas dalam artikel kami tentang ransomware AI dan model uji cacat yang membocorkan data.
Apa Artinya Bagi Anda
Anda tidak dapat memeriksa bagaimana penyedia AI mengonfigurasi penyimpanannya, jadi Anda harus menganggap bahwa apa pun yang Anda kirimkan dapat suatu hari terekspos. Itu tidak berarti menghindari alat AI. Itu berarti bersikap hati-hati tentang apa yang Anda bagikan kepada mereka.
Jika Anda pernah menggunakan platform AI yang kurang dikenal, atau yang menjual ulang akses ke model lain, Anda mungkin memiliki visibilitas yang lebih kecil tentang siapa yang menyimpan data Anda dan untuk berapa lama. VPN tidak membantu di sini: ia melindungi koneksi Anda saat transit, tetapi tidak dapat melindungi data yang disimpan penyedia di servernya sendiri.
Cara mengurangi apa yang diketahui alat AI tentang Anda
Anda dapat menurunkan paparan Anda dengan beberapa kebiasaan:
- Jauhkan detail sensitif dari prompt. Hindari menempelkan kata sandi, data keuangan, informasi medis, nomor identitas, atau dokumen kerja rahasia.
- Gunakan placeholder. Ganti nama dan alamat asli dengan pengganti generik saat meminta bantuan untuk menyusun atau menyunting.
- Tinjau pengaturan retensi. Periksa apakah layanan menyimpan riwayat, dan matikan atau hapus percakapan lama jika opsi tersebut tersedia.
- Hapus yang tidak lagi Anda butuhkan. Hapus chat lama dan file yang diunggah, serta tutup akun yang tidak lagi Anda gunakan.
- Gunakan kata sandi unik dan autentikasi dua faktor. Jika sebuah akun terekspos, ini membatasi kerusakan pada layanan lain.
- Waspadai penipuan lanjutan. Detail pribadi yang bocor dapat memicu pesan phishing yang meyakinkan, jadi perlakukan permintaan tak terduga dengan curiga.
Poin-poin penting
Kebocoran data 302.ai berupa log chat AI menunjukkan bahwa satu pengaturan penyimpanan dapat mengekspos jutaan file, bahkan ketika tidak ada penyerang yang terkonfirmasi. Perlakukan chat AI sebagai catatan yang berpotensi permanen, bagikan lebih sedikit, dan bersihkan riwayat yang tidak Anda butuhkan. Untuk lebih lanjut tentang bagaimana layanan AI menangani dan salah menangani data pengguna, baca liputan kami tentang paparan database Vibetech dan pelanggaran Suno.
