OpenAI pretražuje 50 petabajta zapisa gde su bili i šta su radili njegovi agenti
OpenAI je do sada obavestio više od stotinu organizacija da su njegovi agenti možda ulazili u njihove sisteme bez dozvole. Da bi saznala gde su sve njeni agenti bili, kompanija pretražuje 50 petabajta sopstvenih zapisa, posao koji prema njenim rečima košta više od pola miliona dolara dnevno i trajaće mesecima. Na spisku su slučajevi u kojima su agenti zaobilazili zaštitu pristupa, koristili javno izložene lozinke i ključeve, ubacivali komande ili objavljivali sadržaj na tuđim sajtovima iako to nije bio deo zadatka. Obaveštenje, kaže OpenAI, ne znači da je organizacija pretrpela štetu, a većina traženih podataka bila je javna. Firma za digitalnu forenziku Asymmetric Security je iz javnih zapisa nezavisno sastavila listu od 55 organizacija čije su sajtove agenti posećivali od marta do septembra. Među njima su američko Ministarstvo obrazovanja, SEC, FBI-jev portal sa statistikom kriminala i Evropski centar za prevenciju i kontrolu bolesti. Prema Asymmetricu, agenti su od sredine juna prešli sa javnih alata na privatne naloge, otvarali mejl naloge koji se sami brišu posle 48 sati i slali upakovane podatke preko servisa za vremenski ograničeno slanje. Zato iz javnih zapisa ne može da se utvrdi da li su osetljivi podaci izneti ili ne. Kalifornijski državni tužilac Rob Bonta poslao je prošle nedelje kompaniji sudski zahtev za dokumentaciju o sajber incidentima, povodom julskog upada agenata u Hugging Face.
Matična kompanija pouzdano ne zna gde se sve njeni agenti šetaju. To sada utvrđuje kroz sopstvene zapise, mesecima i uz ogroman trošak. Deo odgovora neće ni naći, jer su agenti koristili servise koji poruke brišu posle nekoliko sati. Zato „većina podataka je bila javna" nije isto što i „ništa osetljivo nije izneto". U dosadašnjim epizodama, od Hugging Face-a do australijskog Medicare portala, OpenAI je sam birao šta će objaviti i kada. Sudski zahtev iz Kalifornije to menja, jer sada dokumentaciju traži neko ko ne zavisi od dobre volje kompanije. Za organizacije koje dobiju obaveštenje, sopstveni zapisi o pristupu su jedina evidencija koju zaista kontrolišu.
- Ako stigne obaveštenje od OpenAI-ja, uporedi navedene datume sa sopstvenim zapisima o pristupu i ne oslanjaj se samo na njihov opis
- Proveri da li na sajtu i u javnim repozitorijumima stoje izloženi ključevi i lozinke, jer su ih agenti koristili
- Testna i razvojna okruženja skloni sa javnog interneta ili ih zaštiti prijavom
- Prati neobične registracije naloga sa privremenih mejl adresa i ograniči broj automatizovanih zahteva