Süni intellekt sahəsində fəaliyyət göstərən Cathedral adlı yeni kibertəhlükəsizlik şirkəti Anthropic-in daxili sistemlərində ciddi təhlükəsizlik boşluqları aşkarladığını açıqlayıb. Şirkətin məlumatına görə, süni intellekt agentlərinin köməyi ilə 12 saatdan az müddətdə əməkdaşların maaş məlumatları, iş təklifləri və daxili yazışmalar kimi həssas informasiyalara çıxış yolları müəyyən edilib.
ABŞ-nin Hökumətin Səmərəliliyi Departamentinin (DOGE) keçmiş əməkdaşları tərəfindən yaradılan Cathedral süni intellektdən istifadə etməklə şirkətlərin informasiya sistemlərində təhlükəsizlik boşluqlarını aşkar etməyə çalışır.
Cathedral-ın hazırladığı ilkin hesabata əsasən, tədqiqatçılar əvvəlcə Anthropic-in sistemlərinə birbaşa daxil olmağa cəhd göstəriblər. Bir neçə gün davam edən yoxlamalardan sonra isə diqqətlərini şirkətin istifadə etdiyi üçüncü tərəf proqram təminatlarına yönəldiblər.
Söhbət satış proseslərinin idarə olunması, insan resursları və inzibati əməliyyatlar üçün istifadə edilən korporativ proqramlardan gedir.
Tədqiqatçılar bu sistemlərdəki boşluqları araşdıraraq Anthropic-in daxili məlumatlarına aparan mümkün giriş yollarını müəyyənləşdiriblər. Süni intellekt agentlərinin köməyi ilə aparılan bu mərhələnin 12 saatdan az davam etdiyi bildirilir.
Cathedral-ın iddiasına görə, aşkar edilən boşluqlar vasitəsilə şirkət əməkdaşlarının maaş məlumatlarına, iş təkliflərinə, görüş qeydlərinə və Slack platformasındakı daxili yazışmalara çıxış əldə etmək mümkün olub.
Həmin yazışmalar arasında Anthropic-in qabaqcıl süni intellekt modelləri ilə bağlı müzakirələrin də olduğu bildirilir.
Bununla belə, Anthropic tədqiqatçıların əldə etdiyi giriş imkanlarının Cathedral tərəfindən təqdim edildiyindən daha məhdud olduğunu açıqlayıb.
Şirkətin bildirdiyinə görə, tədqiqatçılar yalnız satış, insan resursları və informasiya texnologiyaları sistemlərinin müəyyən hissələrinə daxil ola biliblər.
Anthropic xüsusilə vurğulayıb ki, Claude istifadəçilərinin şəxsi söhbətləri, modelə göndərilən sorğular və süni intellektin cavabları təhlükəsizlik insidenti zamanı ələ keçirilməyib.
Eyni zamanda, şirkətin proqram kodları və süni intellekt modellərinin öyrədilmiş parametrlərini ehtiva edən model çəkiləri də tədqiqatçılar üçün əlçatan olmayıb.
Anthropic açıqlamasında sistemlərindəki şübhəli fəaliyyətin bir hissəsini tədqiqatçılar şirkətlə əlaqə saxlamazdan əvvəl aşkar etdiyini bildirib.
Hadisədən sonra müəyyən edilən təhlükəsizlik boşluqları bağlanıb, risk yaradan üçüncü tərəf proqram təminatları deaktiv edilib və məsələ barədə ABŞ-nin federal qurumlarına məlumat verilib.
Maraqlıdır ki, Cathedral-ın apardığı araşdırma Anthropic-in xarici təhlükəsizlik mütəxəssislərinə sistemlərindəki boşluqları aşkar etməyə imkan verən proqramı çərçivəsində həyata keçirilib.
Bu cür təşəbbüslər adətən «bug bounty» proqramları adlanır. Şirkətlər təhlükəsizlik tədqiqatçılarını öz sistemlərini yoxlamağa və aşkar etdikləri boşluqları məsuliyyətli şəkildə bildirməyə təşviq edirlər.
Lakin Anthropic Cathedral-ın proqram qaydalarına tam əməl etmədiyini və həyata keçirdiyi bütün fəaliyyətlər barədə məlumat vermədiyini iddia edir.
Şirkət həmçinin Cathedral-ın hadisənin milli təhlükəsizlik baxımından əhəmiyyətini şişirtdiyini düşünür.
Hadisə ABŞ hökumətinin də diqqətini çəkib. The Washington Post nəşrinə danışan və adının açıqlanmasını istəməyən yüksəkvəzifəli administrasiya rəsmisi Cathedral-ın hesabatının hökumət daxilində müzakirə olunduğunu bildirib.
Rəsminin sözlərinə görə, yeni yaradılmış kiçik bir şirkətin süni intellektdən istifadə etməklə qısa müddətdə həssas sistemlərə giriş yolları müəyyənləşdirməsi narahatlıq doğurur.
Onun fikrincə, oxşar üsullardan xarici kəşfiyyat xidmətləri də istifadə edə bilər.
Hadisə süni intellekt şirkətlərinin kibertəhlükəsizliyi ilə bağlı mühüm problemi gündəmə gətirir. Belə ki, şirkətin əsas sistemləri güclü şəkildə qorunsa belə, gündəlik fəaliyyətdə istifadə edilən üçüncü tərəf proqramları əlavə risk yarada bilər.
Eyni zamanda, araşdırma süni intellekt agentlərinin təhlükəsizlik boşluqlarının aşkarlanmasını sürətləndirə bildiyini göstərir. Bu imkanlar müdafiə məqsədilə istifadə oluna bilsə də, eyni texnologiyaların kiberhücum cəhdlərində tətbiqi ehtimalı da narahatlıq doğurur.
