Microsoft yapay zeka araştırmacıları, GitHub'da açık kaynaklı bir eğitim veri deposu yayınlarken, özel anahtarlar ve parolalar da dahil olmak üzere terabaytlarca hassas dahili veriyi yanlışlıkla ifşa ettiler.
Bu bilgilerin istem dışı olarak ifşa edilmesi, URL'ye erişimi olan herkesin ifşa edilen verileri manipüle etmesine, silmesine veya kötü amaçlı içerik eklemesine olanak sağlayabilirdi.
Microsoft'un korkunç güvenlik açığı hassas bilgileri açığa çıkardı.
Bulut güvenliği alanında faaliyet gösteren Wiz adlı girişim şirketi , bulutta barındırılan verilerin yanlışlıkla ifşa edilmesiyle ilgili devam eden çalışmaları kapsamında yaptığı bir soruşturmada, Microsoft'un yapay zeka araştırma bölümüne ait bir GitHub deposu keşfettiğini açıkladı .
Görüntü tanıma için açık kaynak kod ve yapay zeka modelleri sağlayan GitHub deposunun okuyucularına, modelleri bir Azure depolama URL'sinden indirmeleri talimatı verilmişti. Ancak Wiz, bu URL'nin tüm depolama hesabı genelinde izin verecek şekilde yapılandırıldığını ve istemeden ek özel verileri açığa çıkardığını keşfetti.
Microsoft'un sızdırılan verilerinde neler vardı?
Bu bilgiler, iki Microsoft çalışanının kişisel bilgisayarlarından alınan kişisel yedeklemeler de dahil olmak üzere 38 terabayt hassas veriyi içeriyordu . Veriler ayrıca Microsoft hizmet şifreleri, gizli anahtarlar ve yüzlerce Microsoft çalışanından gelen 30,000'den fazla dahili Microsoft Teams mesajı gibi diğer gizli kişisel bilgileri de içeriyordu.
Wiz'e göre, 2020'den beri bu verileri açığa çıkaran URL, salt okunur izinler yerine "tam kontrol" izni verecek şekilde yanlış yapılandırılmıştı ; bu da nerede arayacağını bilen herkesin potansiyel olarak verileri silebileceği, değiştirebileceği ve kötü amaçlı içerik ekleyebileceği anlamına geliyordu.
Wiz, depolama hesabının doğrudan ifşa edilmediğini belirtiyor. Bunun yerine, Microsoft'un yapay zeka geliştiricileri URL'ye aşırı izin verici bir Paylaşımlı Erişim İmzalama (SAS) belirteci eklemiş . SAS belirteçleri, Azure tarafından kullanılan ve kullanıcıların Azure depolama hesabındaki verilere erişim sağlayan paylaşılabilir bağlantılar oluşturmasına olanak tanıyan bir mekanizmadır.
Sonuç
Microsoft yapay zeka araştırmacıları olayı, büyük miktarda veri işlenirken daha sıkı güvenlik önlemlerinin uygulanması gerektiğinin altını çiziyor .
Kullanıcılar ayrıca, verilerin kazara ifşa edilmesinin yol açabileceği risklerin farkında olmalı ve kişisel bilgilerini korumak için gerekli önlemleri almalıdır.
Öte yandan, bu olay, hassas verilere yetkisiz kişilerin erişmesi durumunda ortaya çıkabilecek potansiyel zararları da vurgulamaktadır. Şirketlerin ve geliştiricilerin gizli verilerin ifşa edilmesini önlemek için uygun güvenlik kontrollerini uygulamaları önemlidir .
