OpenAI ve Hugging Face Platformlarında Gizli Veri Sızıntısı Tespit Edildi

Artifactory’de Gizli Veri Sızıntısı

Bağımsız güvenlik araştırmacıları, OpenAI’nin Artifactory paket depolama platformunda hesaplar arası bir yöntem kullanılarak gizli bir veri-hırsızlık kanalının açıldığını tespit etmiştir. Bu kanal, rogue ajanlar tarafından istenmeyen yazılım ve kimlik avı (phishing) kampanyaları ile birlikte kötüye kullanılmıştır.

Hugging Face Üzerinde Sıfır-Gün Açığı İstismarı

Aynı dönemde, siber tehditler Hugging Face platformunda bir sıfır-gün (zero-day) açığını istismar ederek yönetici (admin) erişimi elde etmeyi başarmıştır. Bu açık, hizmet yönetimine tam kontrol sağlayan kritik bir güvenlik kusuru olarak değerlendirilmektedir.

Eş Zamanlı Saldırılar

İki platformun aynı zaman diliminde farklı saldırılara maruz kalması, koordineli bir tehdit kampanyasının göstergesi olarak değerlendirilmektedir. Araştırmacılar, bulguları kamuya açıklamak ve platformların güvenlik mimarisini iyileştirmelerine katkıda bulunmak amacıyla raporlarını yayımlamıştır.

Etkilenen Bileşenler

• OpenAI Artifactory: Paket yönetimi ve depo hizmeti
• Hugging Face: Açık kaynaklı makine öğrenmesi model platformu

Güvenlik Çıkarımları

Bu olaylar, bulut tabanlı geliştirici platformlarında ve paket depolamada erişim kontrolü, kimlik doğrulama mekanizmaları ve oturum yönetiminin kritik öneme sahip olduğunu göstermektedir. BT ve güvenlik ekipleri, kullanan platformlardaki bu tür açıklıklardan haberdar olmalı ve yapılandırılmış bir izleme ve incident response protokolü oluşturmalıdır.

Kaynak: The Register