Duh! Tim AI Microsoft Bocorkan Data Rahasia ke Forum Terbuka

Adam Rizal - Kamis, 21 September 2023 | 13:30 WIB

Microsoft AI

Tim penelitian Microsoft bidang artificial intelligence (AI) atau kecerdasan buatan secara tidak sengaja mempublikasikan data-data pelatihan di GitHub sebagai sumber terbuka.

Awalnya, para peneliti AI itu ingin memberikan kode sumber dan model AI yang berkaitan dengan pengenalan gambar kepada peneliti lain. Namun, tindakan ini secara tidak sengaja mengakibatkan kebocoran data pribadi yang signifikan.

Wiz, sebuah perusahaan keamanan siber, berhasil menemukan kebocoran data itu ketika mereka menemukan tautan dalam file yang mengandung salinan cadangan dari komputer karyawan Microsoft.

Jumlah data yang bocor mencapai sekitar 38TB dan mengandung informasi sangat penting seperti kata sandi untuk layanan Microsoft, kunci rahasia, dan lebih dari 30.000 pesan internal di aplikasi Teams dari ratusan karyawan Microsoft.

Microsoft mengklaim tidak ada data pelanggan yang terungkap dalam kebocoran itu dan tidak ada layanan internal Microsoft yang terancam.

Microsoft juga menjelaskan bahwa penempatan tautan tersebut dalam file-file tersebut dilakukan dengan sengaja.

Hal itu dilakukan peneliti yang tertarik untuk mengunduh model AI yang telah dilatih dapat mengaksesnya, dan ini bukanlah sebuah insiden kecelakaan.

Para peneliti Microsoft menggunakan fitur Azure yang dikenal sebagai "token SAS" yang memungkinkan pengguna untuk membuat tautan yang dapat dibagikan untuk memberikan akses kepada orang lain ke data dalam akun Azure Storage mereka.

Pengguna dapat mengatur tingkat akses yang diberikan melalui tautan SAS ini, mulai dari satu berkas, seluruh folder, hingga seluruh penyimpanan mereka.

Dalam kasus ini, peneliti secara tidak sengaja membagikan tautan yang memberikan akses ke seluruh akun penyimpanan mereka.

Wiz menemukan masalah keamanan ini dan memberikan laporan kepada Microsoft pada tanggal 22 Juni, dan Microsoft segera mencabut token SAS pada tanggal 23 Juni.

Microsoft juga menjalankan pemindaian ulang terhadap semua repositori publik mereka, meskipun pada awalnya sistem mereka salah mengidentifikasi tautan-tautan ini sebagai "False Positive."