اليوم، كشفت شركة Wiz Research عن تسرّب 38 تيرابايت من بيانات الشركة الداخلية من مستودع بيانات الذكاء الاصطناعي الخاص بشركة Microsoft على منصة GitHub. فقد قام فريق بحوث الذكاء الاصطناعي في Microsoft بنشر بيانات تدريب مفتوحة المصدر على GitHub. بالإضافة إلى ذلك، تم تسرّب 38 تيرابايت من البيانات الخاصة إضافية بشكل غير مقصود، والتي تشمل نسخ احتياطية لأقراص تخزين تعود لبعض موظفي Microsoft. تحتوي هذه النسخ الاحتياطية على معلومات سرية، ومفاتيح خاصة، وكلمات مرور، وأكثر من 30,000 رسالة داخلية لفريق Microsoft Teams.
تتيح خدمة Microsoft Azure Storage للعملاء مشاركة بياناتهم مع الآخرين باستخدام رموز الوصول المشترك (SAS). ومع ذلك، لا توفر الخدمة وسيلة سهلة لإدارة رموز SAS، وتتعذر تتبعها بسهولة. قام باحثو Microsoft بنشر رمز SAS الخاص بحساب تخزين Azure الخاص بهم عن طريق الخطأ، مما أدى إلى هذا التسرّب الضخم. يُوصى بشدة تجنب استخدام رموز SAS للمشاركة الخارجية، حيث يمكن أن تمر دون ملاحظة وتكشف عن بيانات حساسة.
قدّمت شركة Wiz Research تقريرًا حول هذه المشكلة إلى مركز استجابة الأمان في Microsoft في ٢٢ يونيو ٢٠٢٣، وتم إلغاء رمز SAS بواسطة Microsoft بعد يومين. في أغسطس، أجرت Microsoft تحقيقًا داخليًا حول الأثر المحتمل. ووفقًا للتحقيقات، لم يتم تعريض أي بيانات للعملاء، ولم تتعرض أي خدمات داخلية أخرى للخطر بسبب هذه المشكلة. كما لا تتطلب أي إجراءات من العملاء ردًا على هذه المسألة.
في تصريح أصدرته يوم الاثنين، أكد فريق الاستجابة للأمان في Microsoft أنه لم يتم تعريض أي بيانات للعملاء، ولم تتعرض أي خدمات داخلية أخرى للخطر نتيجة لهذا الحادث. وقال أمي لوتواك، الرئيس التنفيذي والمؤسس المشارك لشركة Wiz: “يفتح الذكاء الاصطناعي أفاقاً ضخمة لشركات التكنولوجيا. ومع ذلك، مع سباق علماء البيانات والمهندسين لإطلاق حلول الذكاء الاصطناعي الجديدة، تتطلب الكميات الضخمة من البيانات التي يتعاملون معها فحوصات أمنية وتدابير وقائية إضافية.”
أضاف لوتواك: “تتطلب هذه التقنية الحديثة مجموعات كبيرة من البيانات للتدريب عليها. ومع العديد من فرق التطوير التي تحتاج إلى التعامل مع كميات ضخمة من البيانات ومشاركتها مع زملائهم أو التعاون على مشاريع مفتوحة المصدر العامة، يصعب على حالات مثل حالة Microsoft مراقبتها وتجنبها بشكل متزايد.”
تستطيع خدمة مسح الأسرار في GitHub رصد جميع تغييرات الشيفرة المصدرية مفتوحة المصدر لاحتمال تعرض البيانات السرية والاعتمادات الأمنية. ومع ذلك، تعتبر هذه الخدمة على أن تحتوي على URLs خاصة بـ Azure Storage SAS تشير إلى محتوى حساس، مثل ملفات القرص الظاهرية والمفاتيح التشفيرية الخاصة. بعد هذه المشكلة، قامت مايكروسوفت بتوسيع هذا الكشف ليشمل
