KI-Forscher bei Microsoft haben versehentlich 38 TB Daten weitergegeben

Laut The Hacker News hat Wiz Research – ein Cloud-Sicherheits-Startup – kürzlich ein Datenleck im GitHub-Repository von Microsoft AI entdeckt, das angeblich versehentlich bei der Veröffentlichung einer Gruppe von Open-Source-Trainingsdaten offengelegt wurde.

Zu den durchgesickerten Daten gehört ein Backup der Arbeitsplätze zweier ehemaliger Microsoft-Mitarbeiter mit geheimen Schlüsseln, Passwörtern und mehr als 30.000 internen Nachrichten der Teams-App.

Auf das Repository mit dem Namen „robust-models-transfer“ kann jetzt nicht mehr zugegriffen werden. Vor der Entfernung enthielt das Repository Quellcode und Modelle des maschinellen Lernens im Zusammenhang mit einer Forschungsarbeit aus dem Jahr 2020.

Wiz sagte, der Datenverstoß sei auf die Sicherheitslücke bei SAS-Token zurückzuführen, einer Funktion in Azure, die es Benutzern ermöglicht, Daten zu teilen, die sowohl schwer zu verfolgen als auch schwer zu widerrufen sind. Das Problem wurde Microsoft am 22.06.2023 gemeldet.

Dementsprechend wurden Entwickler in der README.md-Datei des Repositorys angewiesen, Modelle von einer Azure Storage-URL herunterzuladen, wodurch unbeabsichtigt Zugriff auf das gesamte Speicherkonto gewährt und somit weitere private Daten offengelegt wurden.

Zusätzlich zum übermäßigen Zugriffsbereich war das SAS-Token auch falsch konfiguriert, sodass es die vollständige Kontrolle statt nur das Lesen ermöglichte, sagten die Forscher von Wiz. Im Falle einer Ausnutzung bedeutet dies, dass ein Hacker alle Dateien im Speicherkonto nicht nur anzeigen, sondern auch löschen und überschreiben könnte.

Als Reaktion auf den Bericht erklärte Microsoft, dass seine Untersuchung keine Hinweise auf eine Offenlegung von Kundendaten ergeben habe und dass auch keine anderen internen Dienste durch den Vorfall gefährdet gewesen seien. Die Gruppe betonte, dass Kunden nichts unternehmen müssten, und sagte, sie habe SAS-Token widerrufen und sämtliche externen Zugriffe auf Speicherkonten blockiert.

Um ähnliche Risiken zu mindern, hat Microsoft seine Geheimdienst-Scans auf alle SAS-Token ausgeweitet, die möglicherweise über eingeschränkte oder übermäßige Berechtigungen verfügen. Das Unternehmen stellte außerdem einen Fehler im Scansystem fest, der SAS-URLs im Repository mit falschen Ergebnissen markierte.

Forscher weisen darauf hin, dass aufgrund der mangelnden Sicherheit und Governance von SAS-Kontotoken vorsichtshalber auf die Verwendung für die externe Freigabe verzichtet werden sollte. Fehler bei der Token-Generierung können leicht übersehen werden und vertrauliche Daten offenlegen.

Bereits im Juli 2022 hatte JUMPSEC Labs eine Bedrohung offengelegt, die diese Konten ausnutzen könnte, um Zugriff auf Unternehmen zu erhalten.

Wiz Research hat vertrauliche Dateien im Backup gefunden

Dies ist die jüngste Sicherheitsverletzung bei Microsoft. Vor zwei Wochen gab das Unternehmen bekannt, dass aus China stammende Hacker eingebrochen waren und hochsichere Schlüssel gestohlen hatten. Hacker übernahmen das Konto eines Ingenieurs dieses Unternehmens und griffen auf das digitale Signatur-Repository des Benutzers zu.

Der jüngste Vorfall zeigt die potenziellen Risiken der Einführung von KI in große Systeme. Ami Luttwak, CTO von Wiz CTO, sagte, dass KI ein enormes Potenzial für Technologieunternehmen eröffne. Während Datenwissenschaftler und Ingenieure jedoch um die Wette neue KI-Lösungen in die Praxis umsetzen, erfordern die enormen Datenmengen, die sie verarbeiten, zusätzliche Sicherheitsvorkehrungen und -kontrollen.

Da viele Entwicklungsteams mit riesigen Datenmengen arbeiten, diese Daten mit ihren Kollegen teilen oder an öffentlichen Open-Source-Projekten zusammenarbeiten müssen, werden Fälle wie der von Microsoft immer schwieriger zu verfolgen und zu vermeiden.

Quellenlink: https://thanhnien.vn/cac-nha-nghien-cuu-ai-tai-microsoft-vo-tinh-lam-lo-38-tb-du-lieu-185230918232320803.htm