15:47
AI agentləri 13 000-dən çox məxfi ekran görüntüsünü internetə yayıb
Süni intellekt (AI) agentlərinin nəzarətsiz işləməsi 300-dən çox təşkilatda məlumat sızıntısına səbəb olub. Ümumilikdə 13 000-dən çox məxfi ekran görüntüsü açıq internetə yayılıb. Zərərçəkənlər arasında “Fortune 500” siyahısındakı bir neçə şirkət və qabaqcıl AI laboratoriyaları da var. Hadisəni kibertəhlükəsizlik şirkəti “Glow” hazırladığı “PixelLeak” hesabatında üzə çıxarıb.
Proqram hazırlanarkən interfeysdə edilən dəyişiklikləri göstərmək üçün kod yeniləmə sorğularına ekran görüntüləri əlavə olunur. Proqramçılar arasında PR adlanan bu sorğular dəyişiklikləri yoxlamaq üçündür. “GitHub”un qrafik interfeysində şəkil əlavə etmək olsa da, botların işlətdiyi komanda sətri özəl kod saxlancında bunu dəstəkləmir. Buna görə AI agentləri şəkilləri açıq kod saxlancına yükləyib, sonra həmin faylların keçidini özəl sorğuya əlavə edib. Təsirlənən şirkətlərin təxminən 33 faizində proqramçılar şəkil əlavə etmək üçün “gitshot” adlı komanda sətri alətindən yararlanıb. Faylları tapmaq asan olub, çünki alət şəkillərin adına “_gitshot” işarəsi əlavə edib. Halların 93 faizində görüntülər şirkətin “GitHub” hesabında deyil, proqramçının şəxsi istifadəçi adı ilə idarə etdiyi açıq kod saxlancında tapılıb. Beləliklə, özəl layihəyə aid fayllar kənar şəxslər üçün açıq qalıb.
Hallardan birində AI agentinə verilən uzun təlimatlar sızıntını daha da böyüdüb. Agent şəkilləri açıq saxlanca yükləmə üsulunu daimi qayda kimi yadda saxlayıb və sonrakı proqramlaşdırma tapşırıqlarında da işlədib. Nəticədə yalnız bir neçə ay sonra ictimaiyyətə göstərilməli funksiyaların görüntüləri yayılıb. Agentin qeydlərindən onun PNG şəkilləri üçün ayrıca açıq saxlanc yaratdığı məlum olub.
Sızan fayllar arasında daxili və hələ açıqlanmamış proqramların görüntüləri, şirkət və müştəri məlumatları, həmçinin maliyyə sənədləri olub. Pul köçürmə interfeysinin ekran yazıları da açıq faylların içində tapılıb. Sızıntı təkcə proqram kodunu deyil, real əməliyyatları və müştərilərin məxfiliyini də riskə atıb. Şəkillər özəl sorğuda normal göründüyü üçün şirkətlər problemdən xəbərsiz qala biliblər. “Glow” riski azaltmaq üçün əməkdaşların şəxsi hesablarında kod saxlancı yaratmasına icazə verilməməsini tövsiyə edir. İşdən ayrılan əməkdaşların hesabları və idarə etdikləri kodlar da yoxlanmalıdır. İT şöbəsinin xəbəri olmadan işlədilən AI alətləri məhdudlaşdırılmalı, proqram kitabxanaları və agentlərə verilən təlimatlar diqqətlə yoxlanmalıdır. Bu addımlar AI agentlərinin məxfi faylları açıq internetə yükləməsinin qarşısını ala bilər.
Proqram hazırlanarkən interfeysdə edilən dəyişiklikləri göstərmək üçün kod yeniləmə sorğularına ekran görüntüləri əlavə olunur. Proqramçılar arasında PR adlanan bu sorğular dəyişiklikləri yoxlamaq üçündür. “GitHub”un qrafik interfeysində şəkil əlavə etmək olsa da, botların işlətdiyi komanda sətri özəl kod saxlancında bunu dəstəkləmir. Buna görə AI agentləri şəkilləri açıq kod saxlancına yükləyib, sonra həmin faylların keçidini özəl sorğuya əlavə edib. Təsirlənən şirkətlərin təxminən 33 faizində proqramçılar şəkil əlavə etmək üçün “gitshot” adlı komanda sətri alətindən yararlanıb. Faylları tapmaq asan olub, çünki alət şəkillərin adına “_gitshot” işarəsi əlavə edib. Halların 93 faizində görüntülər şirkətin “GitHub” hesabında deyil, proqramçının şəxsi istifadəçi adı ilə idarə etdiyi açıq kod saxlancında tapılıb. Beləliklə, özəl layihəyə aid fayllar kənar şəxslər üçün açıq qalıb. Hallardan birində AI agentinə verilən uzun təlimatlar sızıntını daha da böyüdüb. Agent şəkilləri açıq saxlanca yükləmə üsulunu daimi qayda kimi yadda saxlayıb və sonrakı proqramlaşdırma tapşırıqlarında da işlədib. Nəticədə yalnız bir neçə ay sonra ictimaiyyətə göstərilməli funksiyaların görüntüləri yayılıb. Agentin qeydlərindən onun PNG şəkilləri üçün ayrıca açıq saxlanc yaratdığı məlum olub. Sızan fayllar arasında daxili və hələ açıqlanmamış proqramların görüntüləri, şirkət və müştəri məlumatları, həmçinin maliyyə sənədləri olub. Pul köçürmə interfeysinin ekran yazıları da açıq faylların içində tapılıb. Sızıntı təkcə proqram kodunu deyil, real əməliyyatları və müştərilərin məxfiliyini də riskə atıb. Şəkillər özəl sorğuda normal göründüyü üçün şirkətlər problemdən xəbərsiz qala biliblər. “Glow” riski azaltmaq üçün əməkdaşların şəxsi hesablarında kod saxlancı yaratmasına icazə verilməməsini tövsiyə edir. İşdən ayrılan əməkdaşların hesabları və idarə etdikləri kodlar da yoxlanmalıdır. İT şöbəsinin xəbəri olmadan işlədilən AI alətləri məhdudlaşdırılmalı, proqram kitabxanaları və agentlərə verilən təlimatlar diqqətlə yoxlanmalıdır. Bu addımlar AI agentlərinin məxfi faylları açıq internetə yükləməsinin qarşısını ala bilər.