Nvidia-ஆதரவு அனுமான தொடக்க நிறுவனமான Fireworks AI, நவம்பர் 9 அன்று வெளியிடப்பட்ட புதுப்பிக்கப்பட்ட பாதுகாப்பு புல்லட்டின் படி, தாக்குதல் நடத்தியவர்கள் கணக்கு மற்றும் பில்லிங் தகவல்களை அணுகுவது மற்றும் வரையறுக்கப்பட்ட கணக்குகள், ரகசியங்கள், தரவுத்தொகுப்புகள் மற்றும் முழுமையடையாத மாடல் எடைகள் ஆகியவற்றுடன், முன்னர் வெளிப்படுத்தப்பட்ட பாதுகாப்பு சம்பவம் முதலில் தெரிவிக்கப்பட்டதை விட கணிசமாக விரிவானது என்று வாடிக்கையாளர்களுக்கு அறிவித்தது. சைபர் தாக்குதலை வாடிக்கையாளர் தரவு மற்றும் AI மாதிரிகளை வெளிப்படுத்துவதாக விவரிக்கிறது.

இந்தச் சம்பவத்தை நிறுவனம் முதலில் அக்டோபர் 9 அன்று வெளியிட்டது, அப்போது, ​​மதிப்பீட்டுப் பணிகளில் பயன்படுத்தப்படும் பட்டாசு-சேமிக்கப்பட்ட ரகசியங்கள் மட்டுமே அணுகப்பட்டதாகக் கூறியது. புதிய புதுப்பிப்பு அந்த மதிப்பீட்டை கணிசமாக விரிவுபடுத்துகிறது மற்றும் தொழில்துறை "LLMJacking" என்று அழைக்கும் நிதி ரீதியாக ஊக்கமளிக்கும் சைபர் கிரைமினல் குழுவுடன் ஊடுருவலை இணைக்கிறது - பெரிய மொழி மாதிரிகளுக்கான அணுகலைத் திருடுகிறது மற்றும் சட்டவிரோத ரூட்டிங் கேட்வேகளுக்கு டோக்கன்களை மறுவிற்பனை செய்கிறது. [AI தொழில்துறை பாதுகாப்புச் செய்திகள்] (https://aibuzzwire.news) கண்காணிக்கும் நிறுவனங்களுக்கு, AI உள்கட்டமைப்பு மீதான தாக்குதல்களின் ஒரு புதிய வகுப்புக்கான குறிப்பு சம்பவமாக இந்த வழக்கு உருவாகிறது.

இரண்டாவது மீறல் எவ்வாறு வெளிப்பட்டது

புல்லட்டின் படி, பட்டாசு ஆராய்ச்சி மற்றும் மேம்பாட்டு இயந்திரங்களை வழங்கும் மூன்றாம் தரப்பு கிளவுட் வழங்குநர் தனது சொந்த பாதுகாப்பு சம்பவத்தை அக்டோபர் 23 அன்று அனுபவித்தார். அடுத்த நாள், அங்கீகரிக்கப்படாத ஒரு தரப்பினர் பட்டாசு மேம்பாட்டு இயந்திரங்களை அடைய அந்த இடத்தைப் பயன்படுத்தி, கூடுதல் வாடிக்கையாளர் தரவு தாக்கத்தை ஏற்படுத்தியது. வானவேடிக்கையானது, அதே நாளில் செயல்பாட்டைக் கண்டறிந்து, சரிசெய்தல் நடவடிக்கைகளை எடுத்ததாகவும், அக்டோபர் 25 ஆம் தேதி வரை வாடிக்கையாளர்கள் பயன்படுத்தும் பிளாட்ஃபார்மில் வெற்றிகரமாக அங்கீகரிக்கப்படாத அணுகலுக்கான எந்த ஆதாரமும் கிடைக்கவில்லை என்றும் கூறுகிறது.

நிறுவனம் பாலோ ஆல்டோ நெட்வொர்க்கின் பிரிவு 42 உடன் பணிபுரிகிறது, இது தடயவியல் பகுப்பாய்வை நடத்தி வருகிறது, மேலும் அசல் சம்பவத்திற்குப் பிறகு சட்ட அமலாக்கத்திற்கு அறிவித்ததாகக் கூறியது. Google Threat Intelligence Group மற்றும் Mandiant நவம்பர் 2 அன்று LLMJacking இன் எழுச்சி, அதன் பின்னணியில் உள்ள நோக்கங்கள் மற்றும் பயன்படுத்தப்பட்ட நுட்பங்கள் ஆகியவற்றை ஆவணப்படுத்தும் ஒரு வலைப்பதிவு இடுகையை வெளியிட்டது - சூழல் பட்டாசுகள் அதன் சொந்த வெளிப்படுத்தலில் மேற்கோள் காட்டப்பட்டுள்ளன.

என்ன தரவு எடுக்கப்பட்டது

பாதிக்கப்பட்ட உள் பயன்பாடு, புல்லட்டின் படி, பல வகை தகவல்களை அம்பலப்படுத்தியது:

  • ஆதார மெட்டாடேட்டா, பட்டாசு ஆதார அடையாளங்காட்டிகள், காட்சி பெயர்கள், விளக்கங்கள் மற்றும் உருவாக்கும் நேரங்கள் உட்பட.
  • பில்லிங் தகவல், பில்லிங் மற்றும் ஷிப்பிங் முகவரிகள், இன்வாய்ஸ் மற்றும் பேமெண்ட் வரலாறு, கணக்கு நிலுவைகள் மற்றும் கடன் பயன்பாடு உட்பட.
  • மாடல் எடைகள் மற்றும் தரவுத்தொகுப்புகள்: குறிப்பிட்ட வாடிக்கையாளர்களுக்கு, முழுமையற்ற மாதிரி எடைகள் மற்றும் தரவுத்தொகுப்புகளின் துணைக்குழு அணுகப்பட்டது.

கட்டண அட்டை எண்கள் அதன் கணினிகளில் சேமிக்கப்படவில்லை மற்றும் பாதிக்கப்படவில்லை என்று பட்டாசு கூறியது. அதன் முக்கிய அனுமானம், பயிற்சி SDK மற்றும் Nexus சேவைகளுக்கு எந்த பாதிப்பையும் கண்டறியவில்லை என்றும் அது கூறியது, இது இயல்புநிலையில் பூஜ்ஜிய தரவு தக்கவைப்புடன் இயங்குகிறது - அதாவது வாடிக்கையாளர் பயிற்சி அல்லது அனுமான தரவு எதுவும் ஓய்வில் சேமிக்கப்படவில்லை. பாதிப்பு மற்றும் பரிந்துரைக்கப்பட்ட பதிலளிப்பு நடவடிக்கைகள் குறித்த விவரங்களுடன் தரவு பாதிக்கப்பட்ட வாடிக்கையாளர்களுக்கு நேரடியாக அறிவிப்பதாக நிறுவனம் தெரிவித்துள்ளது.

கட்டுப்பாடு மற்றும் திறந்த கேள்விகள்

அதன் பதிலின் ஒரு பகுதியாக, யூனிட் 42 உடன் பணிபுரியும், வானவேடிக்கை, நற்சான்றிதழ்கள் மற்றும் சேவைக் கணக்குகளை ரத்துசெய்து மாற்றியமைத்துள்ளது, தேவையற்ற உயர்ந்த சலுகைகள், கட்டுப்படுத்தப்பட்ட பிணைய பாதைகள் மற்றும் தனிமைப்படுத்தப்பட்ட பாதிக்கப்பட்ட அமைப்புகள், தரவு சேமிப்பு மற்றும் பகுப்பாய்வு அமைப்புகளுக்கான அணுகலை இறுக்கியது, மற்றும் பதிவுசெய்தல் மற்றும் கண்காணிப்பு ஆகியவற்றை கடினப்படுத்தியது. விசாரணை தொடரும் போது, ​​பேட்ச் இன்ஃபெரன்ஸ் மற்றும் டேட்டாசெட் அடிப்படையிலான பயிற்சியால் பயன்படுத்தப்படும் சுய சேவை தரவுத்தொகுப்பு பதிவேற்றங்கள் மற்றும் பதிவிறக்கங்களையும் இது முடக்கியுள்ளது.

இரண்டு முக்கியமான கேள்விகள் திறந்தே உள்ளன. முதலாவதாக, அணுகப்பட்ட "முழுமையற்ற மாதிரி எடைகள்" உண்மையில் பயன்படுத்தக்கூடியவை - பயிற்சிக் குழாயில் இருந்து திருடப்பட்ட பகுதி அல்லது முன்னேற்றத்தில் உள்ள எடைகள் இன்னும் வளர்ச்சியில் உள்ள வாடிக்கையாளர் மாதிரிகள் பற்றிய போட்டித் தகவலை வெளிப்படுத்தலாம், மேலும் எந்த வாடிக்கையாளர்கள் அல்லது எத்தனை பேர் பாதிக்கப்பட்டுள்ளனர் என்பதை பட்டாசு கூறவில்லை. இரண்டாவதாக, தனியுரிம தரவுத்தொகுப்புகள் வெளிப்படுத்தப்பட்ட வாடிக்கையாளர்களுக்கு என்ன கடமைகள் பின்பற்றப்படுகின்றன. அதன் விசாரணை நடந்து வருவதாகவும், கூடுதல் தகவல்களை வெளியிடலாம் என்றும் நிறுவனம் கூறுகிறது.

ஏன் LLMJacking வளர்ந்து வருகிறது

LLMJacking தாக்குதல்கள் கிளவுட்-ஹோஸ்ட் செய்யப்பட்ட AI சேவைகளை இலக்காகக் கொண்டு பாரம்பரிய தரவைக் காட்டிலும் பயன்படுத்தக்கூடிய மாதிரி அணுகலை அறுவடை செய்கின்றன. திருடப்பட்ட நற்சான்றிதழ்கள் அல்லது டோக்கன்கள் வணிக மாதிரிகளுக்கு வெட்டு-விலை அணுகலை வழங்கும் நிழல் ரூட்டிங் கேட்வேகள் மூலம் மறுவிற்பனை செய்யப்படுகின்றன. Google இன் அச்சுறுத்தல் நுண்ணறிவு குழு மற்றும் Mandiant நவம்பர் 2 அறிக்கையை போக்குக்கு அர்ப்பணித்துள்ளன, இது ஹோஸ்ட் செய்யப்பட்ட அனுமானத்தின் நிறுவன தத்தெடுப்பு வெடித்ததால் பாதுகாப்பு ஆராய்ச்சியாளர்கள் சுமார் இரண்டு ஆண்டுகளாக கண்காணித்து வருகின்றனர்.

AI உள்கட்டமைப்பு வழங்குநரின் வாடிக்கையாளர் மாதிரி கலைப்பொருட்கள் திருடப்பட்ட பிளேபுக்கை தாக்குபவர்கள் இணைத்ததாகத் தோன்றும் முதல் உறுதிப்படுத்தப்பட்ட நிகழ்வுகளில் பட்டாசு வெளிப்பாடு ஒன்றாகும். இது AI சுற்றுச்சூழல் அமைப்பு முழுவதும் பரந்த அளவிலான பாதுகாப்பு சம்பவங்களுக்கு மத்தியில் தரையிறங்குகிறது மற்றும் பல குத்தகைதாரர் தளங்கள் வாடிக்கையாளர் பணிச்சுமையை தனிமைப்படுத்த முடியும் என்பதை நிரூபிக்க அனுமான வழங்குநர்கள் மீது அழுத்தத்தை சேர்க்கிறது. அனுமான விற்பனையாளர்களை மதிப்பிடும் ஸ்டார்ட்அப்கள் குத்தகைதாரர் தனிமைப்படுத்தல், நற்சான்றிதழ் சுகாதாரம் மற்றும் மூன்றாம் தரப்பு கிளவுட் சார்புகள் பற்றி கடினமான கேள்விகளைக் கேட்க வாய்ப்புள்ளது - இங்கே சரியாகப் பயன்படுத்தப்படும் பாதை.

பட்டாசு தனது அமைப்புகளை 24 மணி நேரமும் கண்காணித்து வருவதாகவும், விசாரணை முன்னேறும்போது மேலும் புதுப்பிப்புகளை வெளியிடுவதாகவும் கூறுகிறது. கவலைகள் உள்ள வாடிக்கையாளர்கள் தங்களின் சம்பவ அறிவிப்பு மின்னஞ்சல்களுக்குப் பதிலளிக்க அல்லது நிறுவனத்தின் பாதுகாப்பு அறிவிப்பு முகவரியைத் தொடர்புகொள்ளுமாறு அறிவுறுத்தப்படுகிறார்கள்.

AI நிறுவனங்களுக்கு வெளிப்படுத்தல் விதிமுறைகள் எவ்வாறு முதிர்ச்சியடைகின்றன என்பதையும் இந்த சம்பவம் விளக்குகிறது. அக்டோபர் தொடக்கத்தில் ஆரம்ப ஊடுருவலின் சில நாட்களுக்குள் பட்டாசு தனது முதல் புல்லட்டின் வெளியிட்டது, பின்னர் தடயவியல் படத்தை விரிவுபடுத்தியதால் அதை இரண்டு முறை திருத்தியது - சமீபத்திய நிறுவன மென்பொருள் மீறல்களில் இருந்து ஒரு வரிசை பாதுகாப்பு குழுக்கள் அடையாளம் காணும், ஆனால் AI உள்கட்டமைப்பு வழங்குநர்களிடையே இது அசாதாரணமானது, அவற்றில் பல பொது நிகழ்வுகளைக் கையாளவில்லை. மைய அனுமானத் தயாரிப்பை இயக்கும் போது சுய சேவை தரவுத்தொகுப்பு அம்சங்களை முடக்குவதற்கான தேர்வு, வாடிக்கையாளர் சேவைப் பாதையை விட துணை அமைப்புகளில் வெளிப்பாடு குவிந்துள்ளது என்பதைக் குறிக்கிறது.

---

AIக்கு முன்னால் இருங்கள்

சமீபத்திய AI செய்திகள், பகுப்பாய்வு மற்றும் முன்னேற்றங்கள் - அனைத்தையும் ஒரே இடத்தில் பெறுங்கள்.

மேலும் AI செய்திகளைப் படிக்கவும் →