Fataki AI, uanzishaji wa uelekezaji unaoungwa mkono na Nvidia, umewafahamisha wateja kwamba tukio la usalama lililofichuliwa hapo awali lilikuwa pana zaidi kuliko ilivyoripotiwa mara ya kwanza, huku washambuliaji wakifikia maelezo ya akaunti na malipo na, kwa seti ndogo ya akaunti, siri, seti za data, na uzani wa miundo ambao haujakamilika, kulingana na taarifa ya usalama iliyosasishwa iliyochapishwa kwenye tovuti yake mnamo Novemba 9. Bloomdes iliripoti Jumatatu cyberattack kama kufichua data ya wateja na miundo ya AI.

Kampuni hiyo ilifichua tukio hilo kwa mara ya kwanza tarehe 9 Oktoba, iliposema ni siri tu zilizohifadhiwa na Fataki zilizotumika katika kazi za tathmini ndizo zilizofikiwa. Sasisho jipya linapanua kwa kiasi kikubwa tathmini hiyo na kuunganisha uingiliaji kwa kikundi cha wahalifu wa mtandaoni kilichochochewa kifedha kinachofuata kile sekta inachokiita "LLMJacking" - kuiba ufikiaji wa miundo mikubwa ya lugha na kuuza tokeni kwenye lango haramu la uelekezaji. Kwa kampuni zinazofuatilia habari za usalama za tasnia ya AI, kesi hiyo inajidhihirisha kama tukio la marejeleo la aina mpya ya mashambulizi kwenye miundombinu ya AI.

Jinsi Uvunjaji wa Pili Ulivyotokea

Kulingana na taarifa hiyo, mtoa huduma mwingine wa mtandao wa wingu anayepangisha utafiti na kutengeneza mashine za Fireworks alikumbana na tukio lake la usalama mnamo Oktoba 23. Siku iliyofuata, mtu ambaye hajaidhinishwa alitumia nafasi hiyo kufikia mashine za kutengeneza Fataki na akaendesha kazi isiyoidhinishwa ambayo ilisababisha athari ya ziada ya data ya wateja. Fataki inasema iligundua shughuli siku hiyo hiyo na kuchukua hatua za kurekebisha, na kwamba kufikia Oktoba 25 haijapata ushahidi wowote wa ufikiaji usioidhinishwa kwenye jukwaa ambalo wateja hutumia.

Kampuni hiyo inafanya kazi na Kitengo cha 42 cha Palo Alto Networks, ambacho kinafanya uchanganuzi wa kitaalamu, na ilisema iliarifu wasimamizi wa sheria baada ya tukio la awali. Kikundi cha Ujasusi cha Google Threat Intelligence Group na Mandiant kilichapisha chapisho la blogu mnamo Novemba 2 lililoandika kuibuka kwa LLMJacking, nia nyuma yake, na mbinu zinazotumiwa - Fataki za muktadha zilizotajwa katika ufichuzi wake yenyewe.

Ni Data Gani Ilichukuliwa

Programu ya ndani iliyoathiriwa ilifichua kategoria kadhaa za maelezo, kulingana na taarifa:

  • Metadata ya nyenzo, ikijumuisha vitambulishi vya rasilimali za Fireworks, majina ya maonyesho, maelezo na nyakati za uundaji.
  • Maelezo ya bili, ikijumuisha anwani za kutuma bili na usafirishaji, ankara na historia ya malipo, salio la akaunti na matumizi ya mkopo.
  • Vipimo vya muundo na seti za data: kwa wateja fulani, kikundi kidogo cha uzani na seti za data ambazo hazijakamilika zilifikiwa.

Fataki zilisema nambari za kadi za malipo hazijahifadhiwa kwenye mifumo yake na hazikuathiriwa. Pia ilisema kuwa haijagundua athari yoyote kwa huduma zake za msingi za Maelekezo, SDK ya Mafunzo, na huduma za Nexus, ambazo hufanya kazi bila kuhifadhi data kwa chaguomsingi - kumaanisha hakuna data ya mafunzo ya mteja au data ya makisio iliyohifadhiwa wakati wa mapumziko. Kampuni hiyo ilisema inawaarifu wateja ambao data yao iliathiriwa na maelezo kuhusu athari na hatua zinazopendekezwa za kukabiliana nazo.

Kutosheka na Maswali ya wazi

Kama sehemu ya majibu yake, ikifanya kazi na Kitengo cha 42, Fireworks inasema ilibatilisha na kubadilisha kitambulisho na akaunti za huduma, iliondoa marupurupu ya juu yasiyo ya lazima, njia za mtandao zilizowekewa vikwazo na mifumo iliyoathiriwa iliyotengwa, iliimarisha ufikiaji wa hifadhi ya data na mifumo ya uchanganuzi, na ukataji miti mgumu na ufuatiliaji. Pia imezima upakiaji na upakuaji wa seti ya data unaojitegemea na upakuaji unaotumiwa na Maelekezo ya Kundi na mafunzo ya msingi wa seti ya data huku uchunguzi ukiendelea.

Maswali mawili muhimu yanabaki wazi. Kwanza, ni kiasi gani cha "miundo isiyokamilika ya uzani" ambayo inaweza kutumika - uzani usio kamili au unaoendelea kuibiwa kutoka kwa bomba la mafunzo bado unaweza kufichua maelezo ya ushindani kuhusu miundo ya wateja inayotengenezwa, na Fataki haijasema ni wateja gani au wangapi waliathirika. Pili, ni wajibu gani unaofuata kwa wateja ambao hifadhidata zao za umiliki zilifichuliwa. Kampuni hiyo inasema uchunguzi wake unaendelea na huenda ikafichua taarifa zaidi.

Kwanini LLMJacking Inakua

Mashambulizi ya LLMJacking yanalenga huduma za AI zinazosimamiwa na wingu ili kuvuna ufikiaji wa miundo inayoweza kutumika badala ya data ya kitamaduni. Kitambulisho au ishara zilizoibiwa huuzwa tena kupitia lango la njia la kivuli ambalo hutoa ufikiaji wa bei iliyopunguzwa kwa miundo ya kibiashara. Kikundi cha Ujasusi cha Tishio cha Google na Mandiant walitoa ripoti ya Novemba 2 kwa mtindo huu, ambayo watafiti wa usalama wamefuatilia kwa takriban miaka miwili huku upitishaji wa biashara wa uelekezaji mwenyeji ukilipuka.

Ufichuaji wa Fataki ni mojawapo ya visa vya kwanza vilivyothibitishwa ambapo washambuliaji wanaonekana kuunganisha kitabu hicho cha kucheza na wizi wa vizalia vya miundo ya mteja kwenye mtoa huduma wa miundombinu ya AI. Inatua katikati ya wimbi kubwa la matukio ya usalama katika mfumo ikolojia wa AI na inaongeza shinikizo kwa watoa huduma za uelekezaji ili kuonyesha kwamba majukwaa ya wapangaji wengi yanaweza kutenga mzigo wa kazi wa wateja. Waanzilishi wanaotathmini wachuuzi wa makisio wanaweza kuuliza maswali magumu zaidi kuhusu kutengwa kwa wapangaji, usafi wa kitambulisho, na utegemezi wa wingu wa watu wengine - njia kamili inayotumiwa hapa.

Fataki inasema inafuatilia mifumo yake saa nzima na itachapisha masasisho zaidi uchunguzi ukiendelea. Wateja walio na wasiwasi wanaelekezwa kujibu barua pepe zao za arifa ya tukio au wawasiliane na anwani ya arifa ya usalama ya kampuni.

Tukio hilo pia linaonyesha jinsi kanuni za ufichuzi zinavyozidi kukomaa kwa kampuni za AI. Fataki ilichapisha taarifa yake ya kwanza ndani ya siku za uvamizi wa awali mwanzoni mwa Oktoba, kisha ikaifanyia marekebisho mara mbili huku wataalamu wa uchunguzi wakipanua picha - mlolongo wa timu za usalama zitatambua kutokana na ukiukaji wa programu za biashara za hivi majuzi lakini hilo bado ni jambo la kawaida miongoni mwa watoa huduma wa miundombinu ya AI, ambao wengi wao hawajawahi kushughulikia tukio la umma. Chaguo la kuzima vipengele vya seti ya data ya kujihudumia huku ukiacha bidhaa kuu ya makisio ikiendelea kudokeza kwamba mwangaza uliwekwa katika mifumo saidizi badala ya njia yenyewe ya kuwahudumia wateja.

---

Kaa Mbele ya AI

Pata habari za hivi punde za AI, uchanganuzi na mafanikio - yote katika sehemu moja.

Soma habari zaidi za AI →