云安全公司Wiz本周一撰文披露微软AI研究部门从2020年7月开始公开泄漏了高达38TB的敏感数据,该部门当时正在向一个公共GitHub代码库贡献开源AI学习模型。此次数据泄漏事件持续三年之久,直到一位Wiz研究人员发现一名微软员工不小心分享的一个URL指向包含泄露信息的Azure Blob存储桶(该URL被配置为可分享该账户下所有38TB的文件)。

微软将数据泄露归咎于团队使用了过于宽松的共享访问签名(SAS)令牌,该令牌允许对共享文件进行完全控制。Wiz研究人员描述说,这一Azure功能使数据共享变得难以监控和撤销。

如果使用得当,共享访问签名(SAS)令牌是一种可选的安全访问技术,可用于授权访问存储帐户内的资源,包括对客户端数据访问的精确控制,指定访客可以与之交互的资源,定义访客对这些资源的权限,并确定SAS令牌的有效期。

Wiz警告说:“由于缺乏监控和管理,SAS令牌构成了安全风险,其使用应尽可能受到限制。因为这些令牌非常难以追踪,而且微软没有在Azure门户中提供集中管理方式。SAS令牌可以被配置为永远有效,没有到期时间。因此,使用SAS令牌进行外部共享是不安全的,应该避免。”

Wiz研究团队发现,除了开源模型外,泄露数据的内部存储帐户还无意中允许访问额外的38TB私人数据。这些暴露的数据包括:微软员工个人信息备份,微软服务密码、密钥,以及来自359名微软员工的超过3万条微软Teams内部消息的存档。

微软安全响应中心(MSRC)团队在周一的通告中表示,没有客户数据被暴露,没有其他内部服务面临风险。Wiz在2023年6月22日向MSRC报告了此事件,微软在2023年6月24日撤销了SAS令牌,以阻止所有对Azure存储帐户的外部访问,从而解决了问题。

Wiz的首席技术官兼联合创始人AmiLuttwak指出:“AI潜力巨大,但是随着数据科学家和工程师争先恐后将新的AI解决方案投入生产,AI处理的大量数据需要进行额外的安全检查和保护措施。AI模型的训练需要大量数据,这意味着开发团队也需要处理大量数据、与同事分享数据或在公共开源项目上进行合作,像微软这样的AI项目数据泄露事件将越来越难以监控和避免。”

参考链接:

https://www.wiz.io/blog/38-terabytes-of-private-data-accidentally-exposed-by-microsoft-ai-researchers

声明:本文来自GoUpSec,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。