أعلنت منصة مساحات العمل الرقمية Notion عن تعرض محادثات Notion AI لاختراق أمني، وذلك نتيجة لثغرة لدى مزود البنية التحتية للذكاء الاصطناعي الخاص بها، Fireworks AI. كشفت هذه الحادثة عن نسخ من محادثات الذكاء الاصطناعي في عدد قليل من مساحات العمل، مما يثير تساؤلات حول أمن بيانات المستخدمين في الخدمات المعتمدة على الذكاء الاصطناعي.
تفاصيل الاختراق وكيفية حدوثه
أكدت Fireworks AI أن مهاجماً تمكن من الوصول إلى بيئة التطوير الخاصة بها عبر مزود خدمة سحابية تابع لجهة خارجية في 23 أكتوبر. أدى ذلك إلى اختراق بيانات وصفية للموارد، ومعلومات الفوترة، وأوزان النماذج، ومجموعات البيانات لبعض العملاء. كما شهدت Fireworks AI اختراقاً آخر في أوائل أكتوبر، حيث تم الوصول إلى متغيرات البيئة التي تحتوي على مفاتيح API ورموز مميزة مخزنة كأسرار لعدد محدود من الحسابات.
علمت Notion بالاختراق في 2 نوفمبر بعد تلقي تنبيه من Fireworks AI بشأن مجموعة بيانات مكشوفة تحتوي في البداية على بيانات اختبار اصطناعية. استجابت Notion على الفور بقطع الاتصال مع Fireworks AI، وحذف جميع البيانات من أنظمة البائع، وإيقاف عمليات التدريب بحلول 3 نوفمبر. ومع ذلك، أكدت Fireworks AI في 8 نوفمبر أنه تم بالفعل الوصول إلى بيانات العملاء، بما في ذلك بيانات مستخدمي Notion.
ما هي البيانات المتأثرة ومن هم المتضررون؟
جاءت النصوص المتعرضة للاختراق تحديداً من مجموعة بيانات ميزة Insights، والتي تم تعطيلها الآن. تتيح هذه الميزة لمسؤولي مساحات العمل رؤية كيفية استخدام فرقهم للذكاء الاصطناعي. أوضحت Notion أن الغالبية العظمى من مساحات العمل المتأثرة كانت «غير قابلة للتخصيص»، مما يعني أن المحادثات لم تكن مصنفة باسم الكاتب أو مساحة العمل التي جاءت منها، ولم تحتوي على نتائج استدعاء الأدوات.
وفقاً لـNotion، فإن أقل من 1% من مستخدميها تأثروا بالحادثة. تنصح الشركة أصحاب مساحات العمل الذين يحتمل تأثرهم بمراجعة البيانات من خلال «مراجعة الحوادث الأمنية» في واجهة Notion لسطح المكتب ومشاركة رابط مع الأعضاء يتيح لهم تنزيل نسخهم الخاصة من المحادثات. كما تنصح Notion المستخدمين المتأثرين بتغيير أي كلمات مرور أو مفاتيح API أو بيانات اعتماد أخرى تم إدخالها في المحادثات المتأثرة. إذا لم يتلق المستخدم أو صاحب مساحة العمل إشعاراً، فليس هناك حاجة لاتخاذ أي إجراء في الوقت الحالي.
برأينا، يسلط هذا الحادث الضوء مجدداً على أهمية الأمن السيبراني للمزودين الخارجيين، خصوصاً عندما يتعلق الأمر بالخدمات التي تتعامل مع بيانات الذكاء الاصطناعي الحساسة. يجب على المطورين والمصممين الذين يستخدمون أدوات تعتمد على AI أن يكونوا على دراية بالمخاطر المحتملة لخدمات الطرف الثالث وأن يراجعوا بانتظام سياسات الاحتفاظ بالبيانات وإجراءات الأمان لمقدمي الخدمة. هذا تذكير بأن أي بيانات تدخلونها في أدوات AI، حتى لو كانت للمساعدة في العمل، قد تكون عرضة للاختراق عبر سلسلة التوريد الرقمية.
المصدر: bleepingcomputer.com