أداة تحرير الصور بالذكاء الاصطناعي انقطاع صور وبيانات المستخدم المتسربة

في المجموع ، قام خادم Elasticsearch المملوك لـ Cutout بتسريب 9 غيغابايت من بيانات العملاء.

فبراير 18, 2023 - 18:34

أداة تحرير الصور بالذكاء الاصطناعي انقطاع صور وبيانات المستخدم المتسربة

تعرضت أداة Cutout ، وهي أداة شائعة لتحرير الصور بالذكاء الاصطناعي ، لخرق في البيانات أدى إلى كشف صور المستخدم وأسماء المستخدمين وعناوين البريد الإلكتروني. يؤكد الحادث على مخاطر استخدام أدوات الذكاء الاصطناعي المستندة إلى السحابة للبيانات الحساسة.

تم اكتشاف Cutout.pro ، وهي أداة تحرير صور تعمل بالذكاء الاصطناعي على شبكة الإنترنت ، تسريب ما قيمته 9 جيجابايت من بيانات المستخدم ، والتي تضمنت أسماء المستخدمين والصور المطلوبة باستخدام استعلامات محددة.

تم الاكتشاف بواسطة Cybernews ، الذي عثر على مثيل ElasticSearch مفتوح يحتوي على 22 مليون إدخال سجل يشير إلى أسماء المستخدمين ، بما في ذلك المستخدمين الفرديين وحسابات الأعمال.

ومع ذلك ، نظرًا لأن إدخالات السجل احتوت على تكرارات ، فإن العدد الإجمالي للمستخدمين المتأثرين غير واضح. يحتوي المثيل أيضًا على معلومات حول عدد أرصدة المستخدم ، والعملة الافتراضية داخل اللعبة ، والروابط إلى حاويات Amazon S3 ، حيث تم تخزين الصور التي تم إنشاؤها.

لا ينبغي أن يكون هذا مفاجئًا لأن استخدام الأدوات التي تعمل بالذكاء الاصطناعي قد ارتفع بشكل كبير. هذا على وجه التحديد بسبب النجاح الهائل لـ ChatGPT . لدرجة أن Google اضطرت إلى إطلاق أداة الذكاء الاصطناعي الخاصة بها والتي تسمى Bard AI .

تتيح منصة التصميم المرئي ومقرها هونج كونج للمستخدمين معالجة الصور أو إنشاء الصور باستخدام واجهة برمجة التطبيقات القائمة على الذكاء الاصطناعي (API). تتيح هذه الوظيفة دمج خدمات الشركة في تطبيقات الطرف الثالث.

كما لاحظ الباحثون ، لدى Cutout.pro إحصائيات ذاتية الإبلاغ لأكثر من 300 مليون طلب واجهة برمجة تطبيقات ، و 4000 طلب في الثانية من أكثر من 5000 تطبيق وموقع ويب ، وشراكات مع أكثر من 25000 شركة.

لذلك ، من المحتمل أن يكون التأثير اللاحق للتسرب مدمرًا للعملاء الذين تم الكشف عن بياناتهم في التسريب. وفقًا لتقرير Cybernews ، وجد فريقهم أيضًا تطبيقين لتحرير الصور في قاعدة البيانات المفتوحة: Vivid و AYAYA.

نظرًا لعدم تكوينه بشكل صحيح ، يمكن استغلال المثيل المفتوح من قبل الجهات الفاعلة في التهديد بطرق متعددة. ظن فريق Cybernews أنه يمكن لأي شخص إجراء عمليات CRUD (إنشاء وقراءة وتحديث وحذف).

كان بإمكان المهاجمين استخدام نقطة الوصول الأولية للدخول إلى قاعدة البيانات ، والتحكم في البيانات ، وتمريرها عبر واجهة برمجة تطبيقات Cutout.pro ، وبالتالي تنفيذ هجوم خطير لسلسلة التوريد على عملاء الشركة.

قواعد البيانات التي تم تكوينها بشكل خاطئ - تهديد الخصوصية

كما نعلم ، أصبحت قواعد البيانات التي تم تكوينها بشكل خاطئ أو غير المؤمنة تهديدًا رئيسيًا للخصوصية للشركات والمستخدمين المطمئنين. في عام 2020 ، حدد الباحثون أكثر من 10000 قاعدة بيانات غير آمنة كشفت عن أكثر من 10 مليارات (1046315645) سجل للوصول العام دون أي مصادقة أمنية.

في عام 2021 ، ارتفع عدد قواعد البيانات المكشوفة إلى 399.200. تضمنت الدول العشر الأكثر تسريبًا لقاعدة البيانات بسبب التهيئة الخاطئة في عام 2021 ما يلي: