باحثو الذكاء الاصطناعي في مايكروسوفت لقد كشفوا عن طريق الخطأ تيرابايتات من البيانات الداخلية الحساسة، بما في ذلك المفاتيح الخاصة وكلمات المرور، مع نشر مستودع بيانات تدريب مفتوح المصدر على GitHub.
الكشف غير الطوعي عن هذه المعلومات كان من الممكن أن يسمح ذلك لأي شخص لديه إمكانية الوصول إلى عنوان URL بالتلاعب به أو حذفه أو إدخاله محتوى خبيث في البيانات المكشوفة.
ثغرة أمنية خطيرة في مايكروسوفت تكشف معلومات حساسة
في تحقيق، أعلنت شركة Wiz الناشئة المتخصصة في أمن الحوسبة السحابية أنها اكتشفت مستودعًا على منصة GitHub تابعًا لقسم أبحاث الذكاء الاصطناعي في شركة مايكروسوفت. كجزء من عملهم المستمر بشأن الكشف العرضي للبيانات المستضافة في السحابة.
طُلب من قراء مستودع GitHub، الذي يوفر شفرة مفتوحة المصدر ونماذج ذكاء اصطناعي للتعرف على الصور، تنزيل النماذج من عنوان URL لتخزين Azure. ومع ذلك، اكتشف ويز أن عنوان URL هذا تم تكوينه لمنح الأذونات عبر حساب التخزين بأكمله.مما يؤدي عن طريق الخطأ إلى كشف بيانات خاصة إضافية.
ما الذي كانت تحتويه بيانات مايكروسوفت المكشوفة؟
هذه المعلومة تضمنت 38 تيرابايت من المعلومات الحساسة، مع نسخ احتياطية شخصية من جهازي كمبيوتر شخصيين لموظفي مايكروسوفت. كما احتوت البيانات على بيانات شخصية سرية أخرى، مثل كلمات مرور خدمة مايكروسوفت، والمفاتيح السرية، وأكثر من 30,000 رسالة داخلية من مايكروسوفت تيمز من مئات موظفي مايكروسوفت.
عنوان URL الذي كشف هذه البيانات منذ عام 2020، كما تم ضبطه بشكل خاطئ للسماح بـ "التحكم الكامل". وبدلاً من أذونات القراءة فقط، وفقًا لـ Wiz، فإن هذا يعني أن أي شخص يعرف أين يبحث يمكنه حذف المحتوى الضار واستبداله وحقنه فيها.
يشير ويز إلى أن حساب التخزين لم يُكشف عنه بشكل مباشر. بدلاً من ذلك، قام مطورو الذكاء الاصطناعي في مايكروسوفت... لقد قاموا بتضمين رمز توقيع الوصول المشترك (SAS) المتساهل للغاية في عنوان URLتُعد رموز SAS آلية تستخدمها Azure تسمح للمستخدمين بإنشاء روابط قابلة للمشاركة تمنح الوصول إلى البيانات في حساب تخزين Azure.
اختتام
حادثة باحثي الذكاء الاصطناعي في مايكروسوفت وهذا يسلط الضوء على الحاجة إلى تطبيق إجراءات أمنية أكثر صرامة. عند التعامل مع كميات كبيرة من البيانات.
يجب على المستخدمين أيضًا كن على دراية بالمخاطر المرتبطة بالكشف غير المقصود للبيانات واتخاذ خطوات لحماية معلوماتك الشخصية.
من ناحية أخرى، يسلط هذا الحادث الضوء أيضاً على الضرر المحتمل الذي يمكن أن يحدث عند وصول الأفراد غير المصرح لهم إلى البيانات الحساسة. من المهم أن تقوم الشركات والمطورون بتطبيق ضوابط أمنية مناسبة لتجنب كشف البيانات السرية
