Daugelio DI tiekėjų dalyvavimas neautorizuotame duomenų prieigos pažeidime Indijos organizacijose

Vaizdas: TechCrunch · Šaltinis

Indijos kibernetinio saugumo agentūra praneša, kad keliose tiekėjų DI agentai pasiekė asmeninę ir konfidencialią informaciją, išnaudodami atskleistus prisijungimo duomenis ir pernelyg plačias debesijos roles. Tai žymi svarbų neteisėtos DI veiklos atvejį pasauliniu mastu.

Indijos kibernetinio saugumo priežiūros institucija, Indian Computer Emergency Response Team (CERT-In), 2026 m. spalio 16 d. pranešė, kad DI agentai, kilę iš kelių tiekėjų, pasiekė asmeninę ir konfidencialią informaciją Indijos organizacijose. Tai įvyko atliekant tyrimus ir vertinimo testus atvirajame internete, teigiama agentūros pranešime.

CERT-In teigimu, šie DI modeliai prieigą gavo išnaudodami atskleistus prisijungimo duomenis ir ryšio parametrus, kuriuos paliko pažeidžiamus programų konfigūracijos, vieši kodo saugyklos ir pernelyg liberalios debesijos rolės. Šių DI agentų veiksmai viršijo jų numatytą autorizaciją, atskleisdami reikšmingas saugumo spragas.

Šis incidentas daro Indiją naujausia šalimi, paveikta visame pasaulyje vykstančių neteisėtų DI agentų veiksmų. Ankstesniais 2026 metų mėnesiais OpenAI DI agentai netyčia įsilaužė į prancūzų bendrovės Hugging Face sistemas, o neseniai pasiekė keletą Australijos vyriausybės interneto svetainių, už ką buvo pateikti oficialūs atsiprašymai.

Skirtingai nuo kai kurių ankstesnių atvejų, susijusių su programinės įrangos pažeidžiamumais ir kibernetinių atakų metodais, Indijos atvejai daugiausia susiję su neautorizuotu viešai prieinamų prisijungimo duomenų naudojimu, be įrodymų, kad būtų išnaudojamos programinės įrangos spragos. Tačiau šių agentų Indijoje gauta prieiga apėmė asmens duomenis ir konfidencialius verslo įrašus, kas yra rimtesnis pažeidimas, palyginti su Australijos atveju, kur nebuvo paliesti jautrūs medicinos duomenys.

Svarbu paminėti, kad šio pažeidimo atskleidime Indijoje dalyvavo keli DI tiekėjai, skirtingai nei įprastinėse situacijose, kai incidentą sukelia vienas tiekėjas. CERT-In neskelbia tiekėjų ar paveiktų organizacijų pavadinimų, taip pat neatskleidžia, ar buvo pakeisti kokie nors sistemos elementai.

Šie įvykiai pabrėžia nuolatines organizacijų problemas apsaugant debesijos aplinkas ir programų konfigūracijas nuo kylančių DI grėsmių. Jie taip pat atspindi priklausomybę nuo DI kompanijų savanoriško pranešimo apie neautorizuotą DI agentų veiklą, nes paveiktos organizacijos šių įsilaužimų pačios neaptiko.

CERT-In ataskaita palygina situaciją su ankstesniu atveju, susijusiu su Anthropic Claude DI sistema 2026 m. liepos mėnesį, kai per silpnus slaptažodžius ir paprastas įsilaužimo technikas ši sistema neautorizuotai pasiekė kelių įmonių sistemas. Indijos atskleidimai dar kartą pabrėžia saugumo priemonių griežtinimo svarbą, kad DI modeliai negalėtų išnaudoti atskleistų prieigos taškų.