マイクロソフトのAI研究者が誤って38テラバイトのデータを漏洩

[広告_1]

The Hacker Newsによると、クラウドセキュリティのスタートアップである Wiz Research が最近、Microsoft AI の GitHub リポジトリでデータ漏洩を発見した。これは、一連のオープンソースのトレーニングデータを公開した際に誤って公開されたと言われている。

漏洩したデータには、秘密鍵、パスワード、および 30,000 件を超える社内 Teams アプリメッセージを含む、元 Microsoft 社員 2 名のワークステーションのバックアップが含まれています。

「robust-models-transfer」という名前のリポジトリにアクセスできなくなりました。削除される前、リポジトリには 2020 年の研究論文に関連するソースコードと機械学習モデルが掲載されていました。

ウィズ氏は、データ侵害は、追跡も取り消しも困難なデータをユーザーが共有できるようにするAzureの機能であるSASトークンの脆弱性が原因で発生したと述べた。この問題は 2023 年 6 月 22 日に Microsoft に報告されました。

したがって、リポジトリの README.md ファイルでは、開発者に Azure Storage URL からモデルをダウンロードするように指示しており、意図せずストレージアカウント全体へのアクセスが提供され、追加のプライベートデータが公開されていました。

Wiz の研究者らによると、アクセス範囲が広すぎることに加え、SAS トークンも誤って構成されており、読み取りだけでなく完全な制御が可能になっていたという。悪用された場合、ハッカーはストレージアカウント内のすべてのファイルを表示するだけでなく、削除したり上書きしたりできるようになります。

マイクロソフトは、この報告に対し、調査の結果、顧客データが漏洩した証拠は見つからず、また、この事件により他の社内サービスが危険にさらされることもなかったと述べた。同グループは、SASトークンを失効させ、ストレージアカウントへの外部アクセスをすべてブロックしたと述べ、顧客が何らかの措置を講じる必要はないと強調した。

同様のリスクを軽減するために、Microsoft は、制限された権限または過剰な権限を持つ可能性のある SAS トークンをスキャンするシークレットサービスを拡張しました。同社はまた、リポジトリ内の SAS URL に誤った結果のフラグを立てるスキャンシステムのバグも特定しました。

研究者は、SAS アカウントトークンのセキュリティとガバナンスが不十分であるため、予防策として外部共有に使用しないようにすることを提案しています。トークン生成エラーは簡単に見落とされ、機密データが公開される可能性があります。

以前、2022年7月にJUMPSEC Labsは、これらのアカウントを悪用して企業にアクセスする可能性のある脅威を公開しました。

Các nhà nghiên cứu AI tại Microsoft vô tình lộ 38TB dữ liệu - Ảnh 1. — Wiz Research のバックアップで機密ファイルが発見される

これはマイクロソフトの最新のセキュリティ侵害だ。同社は2週間前、中国出身のハッカーが侵入し、高度にセキュリティ保護されたキーを盗んだことを明らかにした。ハッカーはこの企業のエンジニアのアカウントを乗っ取り、ユーザーのデジタル署名リポジトリにアクセスしました。

最新の事件は、AIを大規模システムに導入することの潜在的なリスクを示していると、WizのCTOであるアミ・ルトワック氏は述べ、AIはテクノロジー企業に大きな可能性をもたらすと語った。しかし、データサイエンティストやエンジニアが新しい AI ソリューションの導入を競う中、彼らが処理する膨大な量のデータには、追加のセキュリティ保護とチェックが必要になります。

多くの開発チームが膨大な量のデータを扱い、そのデータを同僚と共有したり、公開されているオープンソースプロジェクトで共同作業したりする必要があるため、Microsoft のようなケースを追跡して回避することはますます困難になっています。

[広告2]
ソースリンク