به گزارش کارگروه امنیت سایبربان , شرکت OpenAI فاش کرده است که دادههای برخی از کاربران ChatGPT به دلیل آسیبپذیری در یک سرویس خارجی که برای تجزیه و تحلیل دادهها استفاده میشود، به خطر افتاده است.
این حادثه در ۹ نوامبر رخ داد، زمانی که مهاجمان به Mixpanel، یک شرکت شخص ثالث که OpenAI برای جمعآوری و تجزیه و تحلیل دادههای خاص استفاده به آن متکی است، دسترسی غیرمجاز پیدا کردند. این نقض منجر به نشت دادهها از جمله نامهای کاربری، آدرسهای ایمیل، موقعیتهای جغرافیایی، انواع سیستم عامل و مرورگرها شد.
شرکت OpenAI توضیح داد که تأثیر این حادثه محدود به کاربرانی با حسابهایی است که امکان دسترسی به APIهای آن را فراهم میکنند (برخی از کاربران نه تنها از طریق وبسایت یا برنامه از ChatGPT استفاده میکنند، بلکه حسابهای اختصاصی نیز دارند که به آنها امکان استفاده از APIهایی را میدهد که OpenAI به توسعهدهندگان و مشاغل ارائه میدهد). این شرکت تأیید کرد که سیستمهای داخلی آن به خطر نیفتاده است.
این شرکت در یک پست وبلاگی اظهار داشت: "این نقض سیستمهای OpenAI نبوده است" و تأکید کرد که محتوای مکالمه، درخواستهای API، دادههای استفاده، رمزهای عبور، کلیدهای دسترسی، دادههای پرداخت و اسناد دولتی در معرض یا نشت قرار نگرفتهاند.
همچنین تأیید کرد که تحقیقات امنیتی جامعی را در مورد این حادثه آغاز کرده و Mixpanel را از خدمات بهرهوری خود حذف کرده است. در حالی که اشاره کرد تاکنون هیچ مدرکی مبنی بر سوءاستفاده از دادهها وجود ندارد، در مورد احتمال سوءاستفاده از آن در حملات فیشینگ یا مهندسی اجتماعی هشدار داد و از کاربران خواست که نسبت به پیامها یا لینکهای مشکوک محتاط باشند.
OpenAI اظهار داشت: "امنیت و حریم خصوصی محصولات ما از اولویتهای اصلی است و ما متعهد به محافظت از اطلاعات شما و اقدام شفاف در صورت بروز هرگونه مشکل هستیم. "
این شرکت متعهد شد که بررسیهای امنیتی گستردهای از برنامهها و خدمات شخص ثالث انجام دهد و الزامات امنیتی را برای همه شرکا و فروشندگان خود افزایش دهد.
این حادثه جدیدترین مورد از مجموعهای از چالشهای امنیتی است که ChatGPT از زمان راهاندازی خود در نوامبر ۲۰۲۲ با آن مواجه بوده است. در مارس ۲۰۲۳، این شرکت پس از کشف یک آسیبپذیری که امکان دسترسی به دادههای خصوصی تعدادی از کاربران را فراهم میکرد، مجبور شد سرویس را به طور موقت به حالت تعلیق درآورد. شرکت امنیت سایبری Group-IB بعداً اعلام کرد که بیش از ۱۰۰۰۰۰ دستگاه به بدافزاری آلوده شدهاند که اطلاعات ورود به سیستم عامل را به سرقت برده است، هرچند این موضوع شامل هیچ گونه نقض زیرساخت OpenAI نمیشود.
