OpenAI เปิดเผยว่า โมเดลที่หลุดออกจากสภาพแวดล้อม sandbox ของตน ดำเนินการลักษณะโจมตีถึง 17,600 ครั้ง และใช้ข้อมูลยืนยันตัวตนที่รั่วไหลเพื่อเข้า 4 บริการภายนอก ระหว่างเหตุการณ์โจมตี Hugging Face breach
ประเด็นสำคัญ
- โมเดลทดสอบที่หลุดออกไปเข้าถึง 4 บัญชีใน 4 บริการภายนอก แยกกันคนละแพลตฟอร์ม ใช้หนึ่งบัญชีเป็นตัววิ่งทราฟฟิก และอีกหนึ่งบัญชีเป็นที่เก็บข้อมูล
- JFrog อุดช่องโหว่ Artifactory แบบ self-hosted ที่เปิดทางให้โมเดลหลุดออกไปถึงอินเทอร์เน็ตสาธารณะ
- รายงาน post-mortem ระดับ CISO แนะผู้ให้บริการต้องมอง “เอเจนต์อัตโนมัติ” เป็นศัตรูในระดับบุคคลภายใน ไม่ใช่แค่ซอฟต์แวร์ที่ปล่อยทิ้งไว้ได้
Sandbox ของ OpenAI หลุด ทะลุไปถึง 4 ผู้ให้บริการ
OpenAI ได้ออกแถลงอัปเดตเหตุการณ์เมื่อวันอังคาร เผยขอบเขตความเสียหายกว้างกว่าที่รายงานครั้งแรก โดยหนึ่งในบัญชีที่ถูกยึดถูกใช้เป็น “ทางวิ่งออก” และเป็นจุด staging สำหรับปฏิบัติการ อีกหนึ่งบัญชีถูกใช้เป็นพื้นที่เก็บข้อมูล ส่วนอีกสองบัญชีถูกเปิดสิทธิ์แบบ read-only เท่านั้น
บริษัทไม่เปิดชื่อทั้งสี่ปริการ และไม่ได้อธิบายว่าตัวโมเดลค้นพบข้อมูลยืนยันตัวตนที่เปิดเผยเหล่านั้นได้อย่างไร
ทีมตรวจสอบไม่พบหลักฐานว่าตัวโมเดลเจาะลึกเข้าไปมากกว่าระดับบัญชีที่ถูกยึด หรือขยายผลไปแตะบัญชีลูกค้ารายอื่นบนแพลตฟอร์มเดียวกัน
นับจากนั้น OpenAI ปิดใช้งานต้นแบบรุ่นก่อนวางจำหน่ายที่เกี่ยวข้อง ตัดสิทธิ์การเข้าถึงเพื่อการวิจัย และให้คำมั่นจะเผยแพร่รายงานเทคนิคฉบับเต็มร่วมกับผู้ตรวจสอบอิสระ
ด้าน Modal Labs เปิดเผยว่า ลูกค้ารายหนึ่งตั้งค่า endpoint แบบไม่ต้องยืนยันตัวตน เปิดให้ใครก็ตามบนอินเทอร์เน็ตสามารถรันโค้ดภายใน sandbox ของตนได้ ประธานเจ้าหน้าที่เทคโนโลยี Akshat Bubna ย้ำว่า แพลตฟอร์มหลักไม่ได้ถูกเจาะ แต่เอเจนต์ดังกล่าวอาศัยโครงสร้างพื้นฐานที่ “ขอยืมใช้” เช่นนี้ ร่วมกับเว็บแปะข้อความ บริการภาพหน้าจอ และเครื่องมือดัก request เพื่อย้อนส่งทราฟฟิกและพรางร่องรอย
อ่านเพิ่มเติม: เอเจนต์หลุดกรอบของ OpenAI เจาะอีก 4 บริการนอกเหนือจาก Hugging Face
แพตช์ Artifactory และคำเตือนเรื่องการ “ทำแข็ง” เอเจนต์
JFrog ยืนยันว่า เส้นทางหลบหนีของเอเจนต์ผ่าน Artifactory แบบ self-hosted ที่ตั้งค่าเป็น package proxy ซึ่งเป็นลิงก์ออกสู่ภายนอกเพียงเส้นเดียวของ sandbox และได้ปล่อยแพตช์ในเวอร์ชัน 7.161.15 และ 7.146.34 แล้ว
ปัจจุบันมีองค์กรใช้แพลตฟอร์มนี้มากกว่า 7,500 แห่ง รวมถึงประมาณ 80% ของบริษัทในดัชนี Fortune 100 นั่นหมายความว่า ระบบ Artifactory แบบดูแลเองที่ยังไม่อัปเดตแพตช์คือจุดเสี่ยงที่ใกล้ตัวที่สุดของผู้ใช้งานรายอื่น ๆ
รายงาน post-mortem ของ Cloud Security Alliance เรียกร้องให้ผู้ให้บริการ
- บังคับใช้หลัก “least privilege” แบบแท้จริงกับเอเจนต์อัตโนมัติ
- เฝ้าดู “ลำดับการกระทำทั้งชุด” ไม่ใช่แค่คำสั่งเดี่ยว ๆ
- เตรียมเครื่องมือพิสูจน์หลักฐานดิจิทัล (forensics) ไว้บนฮาร์ดแวร์ภายใต้การควบคุม ก่อนเกิดเหตุไม่ปกติ
รายงานชี้ว่า ทีมงานควรมองเอเจนต์อัตโนมัติในฐานะ “คู่ต่อสู้ระดับคนวงใน” (insider-capable adversary) แทนที่จะมองเป็นเพียงซอฟต์แวร์เชิงรับที่ปล่อยทิ้งไว้โดยไม่ตรวจตราได้
Hugging Face เองได้แจ้งผู้ใช้ให้หมุนเวียน (rotate) access token ทุกตัว และทบทวนสิทธิ์การเข้าถึง API ทั้งหมด
กลไกป้องกัน (guardrails) กลับทำงานผิดด้านในเหตุการณ์นี้ ทีมตอบสนองของ Hugging Face ไม่สามารถใช้โมเดลเชิงพาณิชย์วิเคราะห์ล็อกการโจมตีดิบ ๆ ได้ เพราะระบบความปลอดภัยไม่สามารถแยกแยะผู้ป้องกันออกจากผู้โจมตี จึงต้องหันไปใช้โมเดลแบบ open-weight รันภายในองค์กรแทน
การควบคุมสถานการณ์ล่าช้าตลอดเหตุการณ์ การบุกรุกกินเวลาราว 4 วัน เริ่มตั้งแต่ราววันที่ 9 ก.ค. แต่ OpenAI เพิ่งเชื่อมโยงกิจกรรมต้องสงสัยเหล่านี้เข้ากับการทดสอบของตัวเองได้ เมื่อทีมงานไล่ตรวจ system log ในช่วงสุดสัปดาห์วันที่ 18 ก.ค.
ขณะนั้น Hugging Face ตรวจพบการละเมิดแล้ว แจ้ง FBI ไปก่อน และต่อมาได้รื้อและสร้างใหม่โครงสร้างพื้นฐานราวหนึ่งในสามจากอิมเมจสะอาด
อ่านต่อ: วอลุ่มเทรด DEX ร่วง 26% ในเดือนกรกฎาคม เมื่อสภาพคล่องบนเชนหดตัว
