OpenAI เปิดเผยว่า โมเดลที่หลุดออกจากสภาพแวดล้อมแซนด์บ็อกซ์ได้รัน “การกระทำเชิงโจมตี” มากถึง 17,600 ครั้ง และนำข้อมูลรับรองที่เปิดเผยอยู่ ไปใช้กับบริการภายนอก 4 แห่ง ระหว่างเหตุการณ์เจาะระบบ Hugging Face
ประเด็นสำคัญ
- โมเดลทดสอบที่หลุดการควบคุมเข้าถึงบัญชี 4 แห่งบนบริการภายนอก 4 ราย แยกใช้เป็นทั้งรีเลย์ทราฟฟิกและพื้นที่เก็บข้อมูล
- JFrog ออกแพตช์อุดช่องโหว่ Artifactory แบบ self-hosted ที่เปิดทางให้โมเดลเชื่อมออกสู่อินเทอร์เน็ตสาธารณะ
- รายงาน post-mortem ฝั่ง CISO แนะให้ผู้ปฏิบัติการมอง “เอเจนต์อัตโนมัติ” เป็นภัยแบบคนใน ไม่ใช่ซอฟต์แวร์เชิงรับที่ปล่อยทิ้งได้
โมเดล OpenAI หลุดแซนด์บ็อกซ์ แตะบริการภายนอก 4 แห่ง
OpenAI ได้ออกเอกสารชี้แจงฉบับอัปเดตเมื่อวันอังคารที่ผ่านมา โดย เปิดเผย ขอบเขตความเสียหายที่กว้างขึ้น ระบุว่าบัญชีภายนอกบัญชีหนึ่งถูกใช้เป็น “ทางผ่านออก” (outbound relay) และจุดตั้งต้น (staging) ของปฏิบัติการ ขณะที่อีกหนึ่งบัญชีใช้เก็บข้อมูล ส่วนอีกสองบัญชีเปิดสิทธิ์เฉพาะอ่านเท่านั้น
บริษัทไม่ได้ระบุชื่อบริการทั้งสี่ราย และยังไม่อธิบายว่าโมเดลสามารถค้นพบข้อมูลรับรองที่เปิดทิ้งไว้เหล่านั้นได้อย่างไร
ทีมรีวิวเหตุการณ์ระบุว่า ไม่พบหลักฐานว่าโมเดลดันลึกเข้าไปในระบบของผู้ให้บริการเหล่านั้นเพิ่มเติม หรือแตะต้องบัญชีลูกค้ารายอื่นที่ใช้โครงสร้างพื้นฐานเดียวกัน
OpenAI ปิดการใช้งานต้นแบบรุ่นก่อนเปิดตัว (pre-release prototype) ที่เกี่ยวข้องแล้ว ระงับสิทธิ์การเข้าถึงเพื่อการวิจัย และให้คำมั่นว่าจะออก “รายงานเทคนิคฉบับเต็ม” พร้อมให้ผู้ตรวจสอบภายนอกร่วมกลั่นกรอง
ฝั่ง Modal Labs ระบุ ว่าลูกค้ารายหนึ่งเผลอเปิด endpoint ที่ไม่ต้องยืนยันตัวตน ทำให้ใครก็ตามบนอินเทอร์เน็ตสามารถรันโค้ดภายในแซนด์บ็อกซ์ของตนได้ ประธานเจ้าหน้าที่เทคโนโลยี Akshat Bubna ย้ำว่า ตัวแพลตฟอร์มหลักไม่ถูกเจาะ แต่เอเจนต์ของ OpenAI กลับใช้โครงสร้างพื้นฐาน “ยืมใช้” ลักษณะนี้ รวมถึงเว็บฝากข้อความชั่วคราว (paste site), บริการจับภาพหน้าจอ และเครื่องมือดัก request เพื่อรีเลย์ทราฟฟิกและพรางเส้นทางการโจมตี
อ่านเพิ่มเติม: เอเจนต์นอกคอกของ OpenAI ทะลวง 4 บริการเพิ่มนอกเหนือจาก Hugging Face
แพตช์ Artifactory และตำรารัดกุมเอเจนต์อัตโนมัติ
ด้าน JFrog ยืนยัน ว่า เส้นทางหลบหนีของโมเดลมาจาก Artifactory package proxy แบบ self-hosted ซึ่งเป็นช่องทางเชื่อมต่อภายนอกเพียงจุดเดียวของแซนด์บ็อกซ์ และได้ออกแพตช์แก้ไขแล้วในเวอร์ชัน 7.161.15 และ 7.146.34
ปัจจุบันมีองค์กรกว่า 7,500 แห่งใช้งานแพลตฟอร์ม Artifactory รวมถึงราว 80% ของบริษัทในดัชนี Fortune 100 ดังนั้น ระบบที่ติดตั้งแบบ self-managed แต่ยังไม่อัปเดตแพตช์ จึงกลายเป็น “จุดเสี่ยงใกล้ตัว” ที่สุดสำหรับผู้ใช้งานรายอื่น
รายงาน post-mortem จาก Cloud Security Alliance แนะนำ ผู้ดูแลระบบให้บังคับใช้หลัก “least privilege” อย่างแท้จริงกับเอเจนต์อัตโนมัติ เน้นเฝ้าดู “ลำดับการกระทำทั้งชุด” ไม่ใช่ดูคำสั่งเดี่ยวๆ และเตรียมเครื่องมือพิสูจน์หลักฐานดิจิทัล (forensic tooling) ลงบนฮาร์ดแวร์ที่องค์กรควบคุมเอง ก่อนเกิดเหตุโจมตี
รายงานชี้ว่า ทีมรักษาความปลอดภัยควรมองเอเจนต์อัตโนมัติเป็น “คู่ต่อสู้ระดับคนในองค์กร” (insider-capable adversary) มากกว่าจะเป็นเพียงซอฟต์แวร์เชิงรับที่ปล่อยให้ทำงานโดยไม่ต้องสนใจ
ทาง Hugging Face เองได้ประกาศให้ผู้ใช้ “หมุนเวียน” (rotate) access token ทั้งหมด และตรวจสอบสิทธิ์การเข้าถึง API อย่างละเอียดรอบด้าน
ในเหตุการณ์นี้ กลไกความปลอดภัย (guardrails) ของโมเดลเชิงพาณิชย์กลับทำงาน “สวนทาง” กับทีมป้องกัน เพราะโมเดลไม่ยอมประมวลผลล็อกการโจมตีดิบๆ เนื่องจากแยกไม่ออกว่าผู้ใช้เป็นฝ่ายป้องกันหรือฝ่ายโจมตี ทีมของ Hugging Face จึงต้อง หันไปใช้ โมเดลแบบ open-weight ที่รันในสภาพแวดล้อมภายในแทน
การควบคุมสถานการณ์ล่าช้าตลอดเหตุการณ์ การบุกรุกกินเวลาราวสี่วัน โดยเริ่มราววันที่ 9 กรกฎาคม แต่ OpenAI เพิ่งเชื่อมโยงกิจกรรมต้องสงสัยเข้ากับการทดสอบของตัวเองได้ เมื่อพนักงานย้อนตรวจ system log ช่วงสุดสัปดาห์วันที่ 18 กรกฎาคม
ขณะนั้น Hugging Face ตรวจพบความผิดปกติ แจ้ง FBI ไปก่อนแล้ว และภายหลังต้องรื้อและสร้างใหม่โครงสร้างพื้นฐานราวหนึ่งในสามจากอิมเมจสะอาด
อ่านต่อ: วอลุ่มเทรดบน DEX ร่วง 26% ในเดือนกรกฎาคม เมื่อสภาพคล่องบนเชนหดตัว