لا يزال من الممكن الوصول إلى الآلاف من repos github المكشوف ، والخاصة الآن ، من خلال Copilot

يحذر باحثو الأمن من أن البيانات المعرضة للإنترنت ، حتى للحظة ، يمكن أن تبقى في شوطات الذكاء الاصطناعي عبر الإنترنت مثل Microsoft Copilot بعد فترة طويلة من صنع البيانات الخاصة.

تتأثر الآلاف من مستودعات GitHub ذات مرة من بعض الشركات الأكبر في العالم ، بما في ذلك Microsoft ، وفقًا للنتائج الجديدة من Lasso ، وهي شركة للأمن السيبراني الإسرائيلي تركز على تهديدات AI الناشئة.

أخبرت شركة Lasso المؤسس المشارك Ophir Dror TechCrunch أن الشركة عثرت على محتوى من مستودع GitHub الخاص به الذي يظهر في Copilot لأنه تم فهرسته وتخزينه بواسطة محرك البحث في Microsoft. وقال درور إن المستودع ، الذي تم نشره عن طريق الخطأ لفترة وجيزة ، قد تم تعيينه على القطاع الخاص ، وقد أعاد الوصول إليه على Github خطأ “لم يتم العثور على صفحة”.

قال درور: “في CoPilot ، من المدهش ، وجدنا أحد مستودعاتنا الخاصة”. “إذا أردت تصفح الويب ، فلن أرى هذه البيانات. لكن يمكن لأي شخص في العالم أن يطرح Copilot على السؤال الصحيح والحصول على هذه البيانات. “

بعد أن أدركت أن أي بيانات عن Github ، حتى لفترة وجيزة ، يمكن أن تتعرض لأدوات مثل Copilot ، حقق Lasso بشكل أكبر.

استخرج Lasso قائمة بالمستودعات التي كانت عامة في أي وقت في عام 2024 وحدد المستودعات التي تم حذفها منذ ذلك الحين أو تعيينها على القطاع الخاص. باستخدام آلية التخزين المؤقت لـ Bing ، وجدت الشركة أن أكثر من 20،000 من مستودعات GitHub ذاتية لا تزال يمكن الوصول إليها من خلال Copilot ، مما يؤثر على أكثر من 16000 منظمة.

تشمل المؤسسات المتأثرة خدمات Amazon Web Services و Google و IBM و PayPal و Tencent و Microsoft نفسها ، وفقًا لـ Lasso. وقالت الشركة إنه بالنسبة لبعض الشركات المتأثرة ، يمكن دفع CoPilot إلى إرجاع محفوظات GitHub السرية التي تحتوي على ملكية فكرية وبيانات الشركات الحساسة ومفاتيح الوصول والرموز.

أشار Lasso إلى أنه استخدم Copilot لاسترداد محتويات REPO GitHub – منذ حذفها من قبل Microsoft – التي استضافت أداة تسمح بإنشاء صور “هجومية ومضرة” باستخدام خدمة Microsoft Cloud AI.

قال درور إن لاسو تواصل مع جميع الشركات المتأثرة التي “تأثرت بشدة” بالتعرض للبيانات ونصحت بها بتدوير أو إلغاء أي مفاتيح مخاوف.

لم تتم أي من الشركات المتأثرة التي أطلق عليها Lasso على أسئلة TechCrunch. لم ترد Microsoft أيضًا على استفسار TechCrunch.

أبلغت Lasso Microsoft نتائجها في نوفمبر 2024. أخبرت Microsoft Lasso أنها تصنف المشكلة على أنها “شدة منخفضة” ، قائلة إن سلوك التخزين المؤقت هذا “مقبول” ، ولم تعد Microsoft تتضمن روابط إلى ذاكرة التخزين المؤقت لـ Bing في نتائج البحث التي تبدأ في ديسمبر 2024.

ومع ذلك ، يقول لاسو إنه على الرغم من تعطيل ميزة التخزين المؤقت ، إلا أن Copilot لا يزال بإمكانه الوصول إلى البيانات على الرغم من أنها لم تكن مرئية من خلال عمليات البحث التقليدية على الويب ، مما يشير إلى حل مؤقت.