Tulisan terbaru dari Jazz Security membahas contoh-contoh nyata kebocoran data AI, mulai dari insinyur Samsung yang menempelkan kode ke ChatGPT hingga insiden EchoLeak dan Salesloft Drift. Untuk setiap kasus, tulisan tersebut membahas siapa yang menemukan masalahnya, statusnya saat ini, dan kontrol apa yang seharusnya bisa melihat atau membatasi paparan tersebut. Kasus-kasus ini berbeda dalam detail teknis, tetapi memiliki tema yang sama: kebocoran tidak dimulai dari serangan yang eksotis. Semuanya dimulai dari perilaku rutin dan koneksi yang tepercaya.

Artikel ini mengacu pada ringkasan tersebut dan sudut pandang editorial di baliknya. Materi sumber yang tersedia bagi kami singkat, jadi kami berpegang pada pola-pola umum yang dijelaskannya alih-alih menambahkan detail teknis yang tidak dapat kami verifikasi.

Apa yang terjadi dalam kebocoran Samsung, EchoLeak, dan Salesloft Drift

Ketiga kasus ini mencakup tiga cara berbeda terjadinya paparan data terkait AI.

Samsung. Para insinyur menempelkan kode ke ChatGPT. Tidak diperlukan peretas. Karyawan menggunakan chatbot publik sebagai alat kerja, dan materi sensitif keluar dari kendali perusahaan pada saat diserahkan.

EchoLeak. Insiden ini dikelompokkan bersama yang lain sebagai contoh fitur AI yang memaparkan data melalui cara fitur tersebut memproses konten dan terhubung ke informasi lain. Ini menunjukkan bahwa risiko tidak terbatas pada apa yang diketik seseorang. Akses sistem AI itu sendiri terhadap data juga penting.

Salesloft Drift. Kasus ini melibatkan integrasi OAuth yang terhubung. OAuth memungkinkan satu aplikasi mengakses data di aplikasi lain tanpa berbagi kata sandi. Itu memang praktis, tetapi ketika layanan yang terhubung dikompromikan, token akses yang dipegangnya dapat menjadi jalur masuk ke setiap akun yang terhubung dengannya.

Tulisan Jazz Security juga mencatat siapa yang menemukan setiap kasus dan bagaimana statusnya saat ini. Bagi pembaca, pelajaran yang lebih berguna adalah pemasangan setiap kasus dengan sebuah kontrol: sesuatu yang seharusnya bisa memberikan visibilitas terhadap aktivitas tersebut atau membatasi seberapa jauh data berpindah.

Contoh kebocoran data AI: bagaimana penggunaan AI sehari-hari memaparkan data

Yang menonjol dari contoh-contoh kebocoran data AI ini adalah betapa biasanya titik awalnya.

Menempelkan teks ke chatbot terasa seperti menggunakan kotak pencarian atau aplikasi catatan. Itu tidak terasa seperti mengirim data ke pihak ketiga. Kesenjangan antara persepsi dan realitas inilah tempat terjadinya kebocoran gaya Samsung. Setelah informasi diserahkan, Anda umumnya memiliki wawasan terbatas tentang di mana informasi itu disimpan atau siapa yang dapat mengaksesnya berdasarkan ketentuan layanan tersebut.

Aplikasi yang terhubung bekerja dengan cara yang sama. Memberikan akses integrasi hanya membutuhkan beberapa klik, dan izin tersebut sering kali dibiarkan tanpa disentuh selama berbulan-bulan atau bertahun-tahun. Jika vendor di balik integrasi tersebut diretas, paparannya mencapai data yang mungkin sudah Anda lupakan pernah Anda bagikan.

Asisten AI menambahkan lapisan ketiga. Ketika sebuah alat dapat membaca email, dokumen, atau pesan Anda agar dapat membantu, apa pun yang dapat dibacanya berpotensi terkena dampak jika alat tersebut berperilaku tidak semestinya. Contoh EchoLeak menggambarkan mengapa cakupan akses sama pentingnya dengan kualitas AI itu sendiri.

Apa yang hilang dari orang dan organisasi yang terdampak

Spesifiknya berbeda-beda per kasus, dan kami tidak akan menebak angka yang tidak diberikan oleh ringkasan sumber. Secara umum, paparan tersebut terbagi ke dalam beberapa kategori:

  • Informasi milik perusahaan. Kode sumber dan materi internal yang dimasukkan ke chatbot publik tidak lagi dapat dianggap privat.
  • Data bisnis dan pelanggan. Kompromi pada aplikasi yang terhubung dapat memaparkan catatan yang tersimpan di platform yang terhubung, yang memengaruhi pelanggan dan kontak organisasi yang terlibat, bukan hanya organisasi itu sendiri.
  • Kendali dan visibilitas. Dalam banyak insiden, kerusakan yang bertahan lama bukan hanya datanya itu sendiri tetapi hilangnya gambaran yang jelas tentang ke mana data itu pergi.

Pola ini juga muncul di luar lingkungan perusahaan. Pelanggaran data Suno, yang memaparkan informasi pribadi lebih dari 55 juta pengguna dan tidak pernah diungkapkan kepada mereka, menunjukkan bagaimana layanan AI yang menyimpan data pengguna dapat menjadi titik paparan bahkan ketika pengguna tidak melakukan hal yang tidak biasa.

Apa Artinya Ini Bagi Anda

Anda tidak perlu bekerja di perusahaan besar agar pelajaran ini berlaku. Individu menempelkan dokumen pribadi, pertanyaan medis, kontrak, dan draf pekerjaan ke chatbot setiap hari. Banyak juga yang menghubungkan alat AI dan aplikasi lain ke email, kalender, dan penyimpanan cloud.

Poin praktisnya adalah bahwa paparan Anda bergantung pada dua hal yang Anda kendalikan: apa yang Anda serahkan ke layanan AI, dan akses apa yang Anda biarkan tetap aktif. Keduanya tidak memerlukan keahlian teknis untuk dikelola. Konteks yang lebih luas tentang bagaimana AI mengubah gambaran ancaman dibahas dalam ulasan kami tentang ransomware AI dan model uji cacat yang membocorkan data.

Kebiasaan yang membatasi paparan AI Anda sendiri

  • Perlakukan prompt chatbot seperti email kepada orang asing. Jika Anda tidak akan mengirimkannya ke luar organisasi atau rumah tangga Anda, jangan tempelkan ke sana.
  • Hapus detail pengenal terlebih dahulu. Ganti nama, nomor rekening, kredensial, dan informasi klien dengan placeholder sebelum meminta bantuan.
  • Periksa kebijakan kerja Anda. Jika pemberi kerja Anda menyediakan alat AI yang disetujui, gunakan itu alih-alih akun pribadi. Jika tidak ada kebijakan, mintalah.
  • Tinjau aplikasi yang terhubung secara rutin. Buka halaman keamanan atau izin akun email, penyimpanan cloud, dan tempat kerja Anda, dan hapus integrasi yang tidak lagi Anda gunakan.
  • Utamakan izin yang sempit. Ketika sebuah aplikasi meminta akses yang luas, periksa apakah ada opsi yang lebih terbatas.
  • Tinjau riwayat obrolan dan pengaturan data. Lihat apa yang disimpan oleh layanan AI Anda dan apakah Anda dapat memilih keluar dari penggunaan untuk pelatihan atau menghapus percakapan sebelumnya.
  • Gunakan kata sandi unik dan autentikasi multifaktor. Ini tidak menghentikan setiap kebocoran, tetapi membatasi apa yang bisa timbul dari akun yang terpapar.

Intisari

Contoh-contoh kebocoran data AI dari Samsung, EchoLeak, dan Salesloft Drift mengarah pada kesimpulan yang sama: paparan terbesar sering kali berasal dari kenyamanan, bukan serangan canggih. Mulailah dengan mengaudit apa yang Anda tempelkan ke chatbot, lalu telusuri aplikasi yang terhubung dan cabut akses yang tidak Anda butuhkan. Untuk contoh lain paparan data layanan AI, baca tentang pelanggaran Suno, dan untuk konteks yang lebih luas tentang risiko terkait AI, lihat liputan ransomware AI kami. Beberapa menit untuk meninjau sekarang jauh lebih mudah daripada mencoba mencari tahu nanti ke mana data Anda pergi.