'Afera GAI': Microsoft tuži tri hakera i sedam kupaca

Microsoft je tužio tri neimenovane osobe za pokretanje sheme koja omogućava stvaranje štetnog i nedopuštenog sadržaja korištenjem tvrtkine GAI platforme

Mladen Smrekar utorak, 14. siječnja 2025. u 17:13
Ugašena usluga uključivala je detaljne upute o tome kako koristiti prilagođene alate za generiranje štetnog i nedopuštenog sadržaja 📷 freepik
Ugašena usluga uključivala je detaljne upute o tome kako koristiti prilagođene alate za generiranje štetnog i nedopuštenog sadržaja freepik

Microsoftova Jedinica za digitalne zločine (DCU) pokrenula je ovih dana pravne radnje kako bi osigurala sigurnost i integritet svojih AI usluga. Riječ je o borbi protiv kibernetičkih kriminalaca koji razvijaju alate, posebno dizajnirane za zaobilaženje zaštitnih ograda generativnih AI usluga, za stvaranje uvredljivog i štetnog sadržaja. Prijetnja u ovom slučaju dolazi iz inozemstva; trojica zasad neimenovanih hakera osumnjičeni su da su razvili sofisticirani softver koji iskorištava vjerodajnice izloženih korisnika, skinute s javnih web stranica.

Sudski nalog

Hakeri su, stoji u tužbi koju je podnio Microsoft, nezakonito pristupili računima s određenim generativnim AI uslugama i namjerno promijeniti mogućnosti tih usluga. Pristup tim uslugama hakeri su potom preprodavali, uz detaljne upute o tome kako će prilagođene alate koristiti za generiranje štetnog i nedopuštenog sadržaja. Nakon otkrića Microsoft je, kažu u kompaniji, opozvao pristup, uveo protumjere i poboljšao zaštitne mjere kako bi u budućnosti dodatno blokirao takve zlonamjerne aktivnosti.

Microsoftovi odvjetnici tužbu su ilustrirali slikom mrežne infrastrukture 📷 Microsoft
Microsoftovi odvjetnici tužbu su ilustrirali slikom mrežne infrastrukture Microsoft

Sudski nalog, stoji u službenom dopisu, omogućio je istražiteljima da zatvore spornu stranicu, prikupe ključne dokaze o hakerima koji vode ove operacije, pojasne način na koji se te usluge monetiziraju i zaplijene tehničku infrastrukturu. Osim trojice hakera, Microsoft tuži i sedam navodnih korisnika.

Kompromitirani računi

Tri hakera navodno su kompromitirala račune legitimnih Microsoftovih klijenata i prodavala pristup računima putem sada zatvorene stranice na adresi “rentry[.]org/de3u. Usluga, koja je radila od prošlog srpnja do rujna kada je Microsoft poduzeo akciju da je ugasi, uključivala je "detaljne upute o tome kako koristiti ove prilagođene alate za generiranje štetnog i nedopuštenog sadržaja."

Korisničko sučelje koje su koristili korisnici hakerskih usluga 📷 Microsoft
Korisničko sučelje koje su koristili korisnici hakerskih usluga Microsoft

Usluga je sadržavala proxy poslužitelj koji je prenosio promet između svojih korisnika i poslužitelja koji pružaju Microsoftove AI usluge, navodi se u tužbi. Između ostalog, proxy usluga koristila je nedokumentirana Microsoftova mrežna aplikacijska programska sučelja (API) za komunikaciju s Azure računalima tvrtke. Rezultirajući zahtjevi dizajnirani su tako da oponašaju legitimne zahtjeve API-ja usluge Azure OpenAPI i koristili su kompromitirane API ključeve za njihovu autentifikaciju.

Loša praksa

Microsoft nije otkrio kako su ugroženi legitimni korisnički računi, no poznato je da hakeri stvaraju alate za pretraživanje spremišta kodova za programere API ključeva, nenamjerno uključenih u aplikacije. Microsoft i druge kompanije dugo su savjetovali programere da uklone vjerodajnice i druge osjetljive podatke iz koda koji objavljuju, no ta se praksa redovito ignorira. Postoji i mogućnost da su vjerodajnice ukrali ljudi koji su neovlašteno pristupili mrežama na kojima su bile pohranjene.

Microsoft je dakako sustav zaštite no ta su ograničenja temeljena na kodu posljednjih godina više puta hakirana; ponekad je bila riječ o benignim operacijama istraživača, no zabilježeni su i ozbiljni hakerski upadi koji su GAI koristili za izradu pornografskog sadržaja.