微软人工智能部门泄漏38TB敏感数据
2023-9-20 15:40:48 Author: mp.weixin.qq.com(查看原文) 阅读量:5 收藏

云安全公司Wiz本周一撰文披露微软AI研究部门从2020年7月开始公开泄漏了高达38TB的敏感数据,该部门当时正在向一个公共GitHub代码库贡献开源AI学习模型。此次数据泄漏事件持续三年之久,直到一位Wiz研究人员发现一名微软员工不小心分享的一个URL指向包含泄露信息的Azure Blob存储桶(该URL被配置为可分享该账户下所有38TB的文件)。
微软将数据泄露归咎于团队使用了过于宽松的共享访问签名(SAS)令牌,该令牌允许对共享文件进行完全控制。Wiz研究人员描述说,这一Azure功能使数据共享变得难以监控和撤销。
如果使用得当,共享访问签名(SAS)令牌是一种可选的安全访问技术,可用于授权访问存储帐户内的资源,包括对客户端数据访问的精确控制,指定访客可以与之交互的资源,定义访客对这些资源的权限,并确定SAS令牌的有效期。
Wiz警告说:“由于缺乏监控和管理,SAS令牌构成了安全风险,其使用应尽可能受到限制。因为这些令牌非常难以追踪,而且微软没有在Azure门户中提供集中管理方式。SAS令牌可以被配置为永远有效,没有到期时间。因此,使用SAS令牌进行外部共享是不安全的,应该避免。”
Wiz研究团队发现,除了开源模型外,泄露数据的内部存储帐户还无意中允许访问额外的38TB私人数据。这些暴露的数据包括:微软员工个人信息备份,微软服务密码、密钥,以及来自359名微软员工的超过3万条微软Teams内部消息的存档。
微软安全响应中心(MSRC)团队在周一的通告中表示,没有客户数据被暴露,没有其他内部服务面临风险。Wiz在2023年6月22日向MSRC报告了此事件,微软在2023年6月24日撤销了SAS令牌,以阻止所有对Azure存储帐户的外部访问,从而解决了问题。
Wiz的首席技术官兼联合创始人AmiLuttwak指出:“AI潜力巨大,但是随着数据科学家和工程师争先恐后将新的AI解决方案投入生产,AI处理的大量数据需要进行额外的安全检查和保护措施。AI模型的训练需要大量数据,这意味着开发团队也需要处理大量数据、与同事分享数据或在公共开源项目上进行合作,像微软这样的AI项目数据泄露事件将越来越难以监控和避免。”
参考链接:
https://www.wiz.io/blog/38-terabytes-of-private-data-accidentally-exposed-by-microsoft-ai-researchers
原文来源:GoUpSec
“投稿联系方式:孙中豪 010-82992251   [email protected]


文章来源: https://mp.weixin.qq.com/s?__biz=MzkyMzAwMDEyNg==&mid=2247539765&idx=3&sn=aaec337e040ff0899b6676c77268f822&chksm=c1e9d064f69e5972ff73e491b503d01eb553f37779539ebd274452ff3a31042e3cbd8146fc5c&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh