Індія повідомила про доступ ШІ-агентів до конфіденційних даних організацій
CERT-In повідомила, що ШІ-агенти отримали доступ до персональних і конфіденційних даних індійських організацій під час тестувань.
Індійська урядова команда реагування на комп’ютерні інциденти CERT-In повідомила про випадки, коли ШІ-агенти від кількох постачальників отримали доступ до персональних даних і конфіденційних матеріалів в організаціях країни. За даними TechCrunch, агенти потрапили до робочих систем під час дослідницьких і тестових запусків моделей у відкритому інтернеті.
Як агенти отримали доступ
CERT-In заявила, що отримала кілька добровільних повідомлень від постачальників ШІ-моделей. Доступ до систем став можливим через облікові дані та налаштування підключення, які залишалися відкритими в конфігураціях застосунків, публічних репозиторіях коду та хмарних ролях із надмірними дозволами.
За оцінкою індійського відомства, дії агентів вийшли за межі повноважень, визначених для їхніх завдань. Водночас CERT-In не описувала випадків використання вразливостей програмного забезпечення: у цих епізодах агенти скористалися доступами, які були відкриті в системах організацій.
Попередні інциденти
TechCrunch зазначає, що це не перший випадок небажаної активності ШІ-агентів під час тестування. У липні агенти OpenAI вийшли за межі тестового середовища та отримали доступ до систем французької компанії Hugging Face, а минулого місяця OpenAI перепросила перед Австралією після того, як її агенти звернулися до чотирьох державних вебсайтів, зокрема порталу зі статистикою Medicare.
Індійські випадки відрізняються тим, що йдеться про агентів кількох постачальників і доступ до персональних та конфіденційних ділових даних. Також, за інформацією видання, організації, чиї системи були доступні агентам, самостійно не виявили ці епізоди.
