نقض امنیتی در AI Agregator بیش از 18 میلیون فایل را فاش می کند، از جمله برخی سوابق چت بسیار شرم آور

محققان 22.7 ترابایت داده در معرض دید AI aggregator 302.ai، از جمله گزارش‌های چت و اطلاعات شخصی پیدا کردند.

سوابق فاش شده حاوی درخواست‌های کاربر، پاسخ‌های هوش مصنوعی، ابرداده و اسناد حساس شرکت بود.

رویداد خطرات اشتراک گذاری داده های محرمانه با پلتفرم ها و سرویس های هوش مصنوعی شخص ثالث را برجسته می کند کارشناسان امنیتی که از پشت بام ها فریاد می زدند "داده های حساس را با هوش مصنوعی عمومی به اشتراک نگذارید" توسط یک جمع کننده هوش مصنوعی به نام 302.ai به درستی تایید شده اند.

محققان Cybernews ادعا می‌کنند که این شرکت ترابایت اطلاعات حساس کاربران و شرکت‌ها، از جمله اطلاعات شناسایی شخصی (PII)، اسناد تجاری محرمانه و موارد دیگر را به بیرون درز کرده است.

رویای هر هکری

یک جمع‌کننده هوش مصنوعی پلتفرمی است که چندین مدل و ابزار هوش مصنوعی را در یک مکان گرد هم می‌آورد. سپس کاربران بدون نیاز به بازدید جداگانه از هر ارائه دهنده، می توانند بین آنها جابجا شوند.

به عنوان مثال، یک تجمیع کننده هوش مصنوعی ممکن است به کاربر اجازه دهد با Chat-GPT شروع کند و با فشار یک دکمه به کلود سوئیچ کند، همه از طریق یک رابط و یک اشتراک یا API.

اگرچه موارد استفاده متفاوتی برای تجمیع‌کننده‌های هوش مصنوعی وجود دارد، اما شماره یک توانایی مقایسه سریع و آسان پاسخ‌ها را دارد.

302.ai شش سال پیش توسط شرکتی به نام Univerads Technology Limited، مستقر در هنگ کنگ راه اندازی شد.

Cybernews می‌گوید که یک سطل ذخیره‌سازی Azure رمزگذاری نشده، بدون رمز عبور و در دسترس عموم نگه داشته است که حاوی 17.6 میلیون فایل است. کل آرشیو 22.72 ترابایت سنگین بود که بیشتر آن روی فایل های تصویری (تقریبا 9 ترابایت) بود. ویدئو 7.7 ترابایت و صدا 5.6 ​​ترابایت. بقیه - حدود 500 گیگابایت، گزارش های چت کاربر بودند.

در مجموع بیش از 144000، این گزارش‌ها در فایل‌های json. ذخیره شدند و اطلاعات شخصی زیادی، از جمله درخواست‌های کاربر، پاسخ‌های ربات هوش مصنوعی، مدل استفاده شده، هزینه آن در توکن‌ها، مهرهای زمانی و سایر ابرداده‌ها در معرض دید قرار گرفتند. همچنین به نظر می رسد که کاربران خود داده های زیادی از جمله نام، تاریخ تولد، جنسیت، آدرس پستی و سایر اطلاعات تماس خود را ارائه کرده اند.

برخی از اطلاعاتی که از این طریق به بیرون درز کرد نیز بسیار شرم آور بود. این تیم نوشت: "چیزی که ما دریافتیم این بود که برخی از شرکت‌ها از این سرویس برای کارهای سازمانی استفاده می‌کردند. به عنوان مثال، ما چندین گزارش چت را از یک چت بات پشتیبانی مشتری که متعلق به یک سازنده برجسته عروسک‌های جنسی بود، پیدا کردیم."

این نوع داده های خصوصی، حتی صمیمی، معدن طلایی برای مجرمان سایبری است. آنها می توانند از آن برای ایجاد ایمیل های فیشینگ بسیار سفارشی و شخصی سازی شده استفاده کنند، دقیقا بدانند که کدام شرکت را جعل هویت کنند، چه نوع زمینه ای را باید ذکر کنند و چگونه ایمیل فریبنده را بیان کنند تا قربانی واکنش نشان دهد. این واکنش معمولا به در خطر افتادن ایمیل تجاری، کلاهبرداری سیمی یا آلودگی باج افزار ختم می شود.

پایگاه داده قفل می شود

محققان Cybernews با Univerads Technology تماس گرفتند، اما پاسخی دریافت نکردند. در این بین، شرکت پایگاه داده را قفل کرد و دیگر فایل های حساس به بیرون درز نمی کند.

با این حال، سؤالات کلیدی بی پاسخ مانده است: آیا Univerads این پایگاه داده را نگهداری می کند یا این کار به شخص ثالث برون سپاری شده است؟ اولین بار شرکت از چه زمانی شروع به جمع آوری این داده ها کرد؟ چه مدت بایگانی بدون محافظت ماند؟ Cybernews آن را در اوایل آگوست 2026 پیدا کرد و یک ماه بعد آن را قفل شد. آیا شخص دیگری آن را قبل از تیم Cybernews پیدا کرده است؟ آیا نشانه ای وجود دارد که فایل ها توسط شخص ثالث کپی یا مشاهده شده است؟ آیا شواهدی دال بر استفاده نادرست یا ریختن داده ها به تاریک وب وجود دارد؟

بعید است به این سوالات پاسخ داده شود. با توجه به پاسخ سریع شرکت و بسته شدن پایگاه داده، می توان فرض کرد که هیچ نیت بدی در کار نبوده و این نشت کاملا غیرعمدی است.

نشت داده های تصادفی مانند این، متأسفانه، بسیار رایج است. بسیاری از سازمان‌ها یا نمی‌دانند، یا فراموش می‌کنند که وظیفه آنها ایمن سازی داده‌هایی است که تولید و در فضای ابری ذخیره می‌کنند. در نتیجه، تقریبا هر هفته گزارش‌های جدیدی از نشت‌های بزرگ منتشر می‌شود که برخی از آن‌ها بر کل جمعیت برخی کشورها مانند برزیل تأثیر می‌گذارند.