OpenAI به خاطر «اقدام سریع» در قطع همکاری با Mixpanel پس از افشای داده‌های توسعه‌دهندگان مورد تحسین قرار گرفت

افشای اطلاعات در Mixpanel باعث شد OpenAI بررسی گسترده‌ای روی تمام تأمین‌کنندگان خود آغاز کند.

OpenAI اعلام کرده که یک رخنه امنیتی در یکی از تأمین‌کنندگان خارجی باعث شده ایمیل‌ها، اطلاعات مکانی و «بخشی محدود از داده‌های تحلیلی مربوط به برخی کاربران API» افشا شود.

این تأمین‌کننده، شرکت Mixpanel است که خدمات تحلیل داده را از طریق پلتفرم توسعه‌دهندگان OpenAI ارائه می‌کند. OpenAI می‌گوید این پلتفرم به درک نحوه استفاده از محصولات و بهبود خدمات مربوط به محصول API در سایت platform.openai.com کمک می‌کند.

در تاریخ ۹ نوامبر، Mixpanel متوجه شد یک مهاجم دسترسی غیرمجاز به سیستم‌هایش پیدا کرده و سپس مجموعه‌ای از داده‌ها شامل «مقداری محدود از اطلاعات قابل شناسایی مشتری و داده‌های تحلیلی» را خارج کرده است.

طبق بیانیهٔ رسمی OpenAI، داده‌های افشاشده شامل موارد زیر است:

نام‌هایی که از طریق حساب‌های API در Mixpanel ثبت شده‌اند

ایمیل‌های مرتبط با حساب API«موقعیت جغرافیایی تقریبی بر اساس مرورگرهای کاربران API» (شامل شهر، ایالت و کشور)

اطلاعاتی درباره سیستم‌عامل و مرورگری که برای دسترسی به حساب API استفاده شده

وب‌سایت‌هایی که کاربران از طریق آنها به حساب API هدایت شده‌اند

OpenAI تأکید کرده که این رخنه فقط روی توسعه‌دهندگان تأثیر دارد و کاربران عادی ChatGPT تحت تأثیر قرار نگرفته‌اند. همچنین گفته داده‌های حساس مثل رمز عبور، اطلاعات پرداخت یا کارت شناسایی دولتی افشا نشده است.

OpenAI در حال اطلاع‌رسانی به افراد آسیب‌دیده است.

واکنش سریع OpenAI

OpenAI پس از اطلاع از حادثه، Mixpanel را از محیط عملیاتی خود حذف کرد و بررسی داده‌های آسیب‌دیده را آغاز نمود.

هرچند تحقیقات هنوز ادامه دارد، اما OpenAI می‌گوید تاکنون «هیچ شواهدی مبنی بر تأثیرگذاری حادثه بر سایر سیستم‌ها یا داده‌های خارج از محیط Mixpanel» پیدا نشده است.

این شرکت همچنین استفاده از خدمات Mixpanel را به‌طور کامل متوقف کرده و اعلام کرده که قصد دارد شبکه تأمین‌کنندگانش را دوباره ارزیابی کند.

OpenAI در بیانیه‌ای گفت: «اعتماد، امنیت و حریم خصوصی پایه و اساس محصولات، سازمان و مأموریت ما هستند. ما از شرکای خود نیز انتظار بالاترین سطح امنیت و حریم خصوصی را داریم.»

جیک مور، مشاور جهانی امنیت سایبری در شرکت ESET، اقدام سریع و شفافیت OpenAI را مورد تمجید قرار داد. او گفت بسیاری از شرکت‌ها تلاش می‌کنند چنین حوادثی را کم‌اهمیت جلوه دهند و پنهان نگه دارند.

مور افزود: «شرکت‌ها معمولاً از پیامدهای یک حمله می‌ترسند و فکر می‌کنند برای برندشان آسیب‌زننده است. اما امروزه شفافیت اهمیت بسیار بیشتری دارد و سرعت عمل در اطلاع‌رسانی به افراد آسیب‌دیده حیاتی است.»

هشدار به توسعه‌دهندگان برای حفظ هوشیاری

OpenAI هشدار داده که اطلاعات افشاشده ممکن است در آینده توسط هکرها برای حمله به کاربران مورد سوءاستفاده قرار گیرد و از توسعه‌دهندگان خواسته «هوشیار باقی بمانند».به گفته مور، این نوع هشدارها پس از هر افشای اطلاعات طبیعی است.

او توضیح داد: «با اینکه داده‌های افشاشده حساسیت کمی داشتند، اما همچنان می‌توانند در حملات مهندسی اجتماعی یا فیشینگ سوءاستفاده شوند، چون مهاجم با ترکیب نام، ایمیل و موقعیت تقریبی می‌تواند پیام‌های جعلی بسیار قانع‌کننده بسازد.»

مور در پایان گفت: «مثل هر رخنه اطلاعاتی، افرادی که داده‌هایشان افشا شده باید مراقب ایمیل‌ها یا پیام‌های مشکوک باشند.»