Η METR, ο οργανισμός που αξιολογεί μοντέλα AI, έχασε κλειδί API και κατανάλωσε πιστώσεις αξίας 600.000 δολαρίων
Η METR, μη κερδοσκοπικός οργανισμός που αξιολογεί πόσο ικανά είναι τα πιο προηγμένα μοντέλα AI να εκτελούν πολύπλοκες, μακράς διάρκειας εργασίες, αποκάλυψε δύο ξεχωριστά περιστατικά ασφαλείας. Τον Μάρτιο, ένας ερευνητής της είχε αφήσει, χωρίς πρόθεση, δημόσια προσβάσιμο ένα εργαλείο δοκιμών που έτρεχε σε προσωπικό του server, το οποίο περιείχε κλειδί API για μοντέλα ανοιχτής πρόσβασης. Ένα σφάλμα στον κώδικα του εργαλείου απενεργοποιούσε αθόρυβα τον έλεγχο ταυτότητας, με αποτέλεσμα κάποιος επιτιθέμενος να τον εντοπίσει, πιθανότατα ψάχνοντας σε λίστες πρόσφατα καταχωρημένων ιστοτόπων, να αποσπάσει το κλειδί ζητώντας το απευθείας από τον ίδιο τον AI agent, και να το χρησιμοποιήσει επί τρεις εβδομάδες καταναλώνοντας πιστώσεις που θα κόστιζαν περίπου 600.000 δολάρια αν δεν τις είχε προσφέρει δωρεάν ο πάροχος του μοντέλου. Τον Μάιο ακολούθησε δεύτερο περιστατικό, όπου επιτιθέμενοι δοκίμασαν συστηματικά τη δημόσια υποδομή της METR, χωρίς όμως να αποκτήσουν πρόσβαση σε ευαίσθητα δεδομένα. Η METR διευκρινίζει ότι καμία από τις δύο περιπτώσεις δεν σχετίζεται με AI agents που παρέκαμψαν τις ίδιες τις αξιολογήσεις της, αλλά με βασικά κενά υγιεινής ασφαλείας γύρω από τα διαπιστευτήρια.
Πηγές
Η περίληψη συντάχθηκε αυτόματα με AI από τις δημόσιες πηγές που αναφέρονται παραπάνω και ελέγχθηκε από ανεξάρτητο AI ελεγκτή πριν δημοσιευτεί. Για όλες τις λεπτομέρειες, διάβασε την αρχική πηγή.