Тайваньская компания по производству полупроводников, крупнейший в мире контрактный производитель микросхем и краеугольный камень цепочки поставок оборудования для искусственного интеллекта, подтвердила, что личные данные, принадлежащие ее сотрудникам, были размещены в Интернете после несанкционированного доступа к системам одного из ее облачных провайдеров. Компания заявляет, что ее собственные системы не были скомпрометированы.

В заявлении, поданном в Комиссию по ценным бумагам и биржам США в форме 6-K и озаглавленном «Заявление о несанкционированном доступе к личным данным сотрудников», TSMC заявила, что не обнаружила никаких доказательств того, что ее собственная инфраструктура была взломана и что раскрытые данные не связаны с ее деятельностью или информацией о клиентах, согласно краткому изложению документации, опубликованному MLQ.ai. Компания заявила, что уведомляет пострадавший персонал и работает с поставщиком облачных услуг, соответствующими следственными органами и сторонней фирмой по кибербезопасности, чтобы установить, что произошло.

Что известно, а что нет

Раскрытие информации компанией оставляет серьезные вопросы открытыми. TSMC не назвала вовлеченного поставщика облачных услуг, не сообщила, сколько сотрудников пострадало, и не указала, какие именно данные были раскрыты.

В сообщениях тайваньской прессы добавляются подробности, которые сама TSMC не подтвердила. Wccftech, ссылаясь на более ранние сообщения в тайваньских СМИ, сообщила, что просочившиеся файлы охватывают примерно 46 000 записей о сотрудниках (в заголовке издания упоминалось 49 000), включая адреса, номера банковских счетов и контактные данные для экстренных случаев, и что злоумышленники потребовали выкуп в размере трех биткойнов, угрожая обнародовать данные. Эти подробности следует рассматривать как неподтвержденные: официальное заявление TSMC не подтверждает масштаб утечки, категории данных или требование выкупа.

Различие между двумя наборами фактов имеет значение. Подтверждено то, что к личным данным сотрудников, хранящимся у облачного провайдера, был получен доступ без авторизации, и что TSMC рассматривает это как инцидент безопасности, требующий внешнего расследования. Что не подтверждено, так это точный масштаб воздействия.

Тяжелая неделя для чип-гиганта

Раскрытие информации произошло в период, насыщенный событиями для компании. Ранее на той же неделе совет директоров TSMC одобрил инвестиции в размере до 1 миллиарда долларов в Anthropic и OpenAI, согласно отчету MLQ.ai (этот шаг освещается отдельно в этом издании), что усугубляет финансовую запутанность производителя чипов с ведущими разработчиками искусственного интеллекта, которые поставляют его заводы-производители. А в четверг акции тайваньских производителей чипов упали, поскольку рынок поглотил суматоху вокруг генерального директора Nvidia, вызвав потрясения в полупроводниковом секторе острова.

Такое сопоставление подчеркивает структурную реальность бума искусственного интеллекта: TSMC находится в центре почти всех передовых разработок искусственного интеллекта, производя ускорители, которые обучают и запускают самые крупные модели для Nvidia, AMD и растущего числа клиентов, производящих нестандартные полупроводниковые процессоры. Любой сбой в работе компании — даже инцидент с данными о человеческих ресурсах у стороннего поставщика облачных услуг, а не производственный компромисс — привлекает внимание, поскольку значительная часть экономики ИИ зависит от его результатов.

Сторонний риск в цепочке поставок ИИ

Инцидент также является примером периметра безопасности современных компаний. В заявлении TSMC четко указано, что нарушение произошло у поставщика облачных услуг, а не в собственной среде TSMC. Тем не менее, данные, которые утекли, были данными TSMC — адресами ее сотрудников и, как сообщается, их банковскими реквизитами. Практически компания несет ответственность за репутационные и человеческие последствия неудачи своего поставщика.

Эта модель стала знакома во всей технологической отрасли, но она имеет особое значение для компаний, работающих в цепочке аппаратного обеспечения искусственного интеллекта. Производители микросхем хранят конфиденциальные данные о процессах, файлы дизайна клиентов и информацию о мощности, которые могут быть ценны как для конкурентов, так и для государственных субъектов. В этом случае TSMC заявила, что раскрытые данные представляли собой личную информацию сотрудников, не связанную с ее деятельностью или клиентами, но этот инцидент по-прежнему иллюстрирует, как отношения в цепочке поставок увеличивают количество мест, где хранятся конфиденциальные данные компании, и количество систем, которым она должна доверять.

TSMC заявила, что работает со сторонней фирмой, занимающейся кибербезопасностью, и властями, чтобы выяснить, что произошло, а раскрытие информации в форме 6-K предполагает, что компания рассматривает этот вопрос как существенный для инвесторов. Если сообщения тайваньской прессы о масштабах точны, число пострадавших сотрудников будет большим даже по стандартам утечки корпоративных данных. Компания не подтвердила эту цифру, и дальнейшие подробности могут появиться по ходу расследования.

Что будет дальше

Несколько открытых вопросов определят, насколько значимым станет этот инцидент. Личность поставщика облачных услуг остается нераскрытой, и этот ответ будет иметь значение как для отношений TSMC с поставщиками, так и для того, как другие производители чипов оценивают свои собственные соглашения с третьими сторонами. Подтвержденное количество пострадавших сотрудников и то, какие именно категории данных были раскрыты, определят практическое воздействие на персонал: от риска кражи личных данных до финансового мошенничества, если банковские реквизиты действительно были включены в утечку.

Существует также вопрос о том, является ли заявленное требование о выкупе подлинным и последуют ли какие-либо выплаты или переговоры. Заявления о выкупе, опубликованные в Интернете, иногда являются раздутыми или мошенническими, что является одной из причин, по которой решение TSMC не подтверждать непроверенные данные является разумным. Сотрудники, пострадавшие от инцидента, предположительно получат прямое уведомление от компании с инструкциями по мерам защиты.

Для полупроводниковой промышленности в целом этот эпизод, вероятно, побудит по-новому взглянуть на то, где хранятся конфиденциальные кадровые и операционные данные и в соответствии с какими договорными обязательствами по обеспечению безопасности. Пока расследование продолжается, отрасль будет следить не только за тем, что говорит TSMC, но и за тем, что она меняет.

Будьте впереди ИИ

Цепочка поставок оборудования для искусственного интеллекта никогда не спит. Будьте впереди искусственного интеллекта благодаря репортажам AI Buzz Wire о чипах, компаниях и инвестициях, лежащих в основе этой области.

Читать больше новостей об искусственном интеллекте →