Sequoia ve Greenoaks’ın desteklediği girişim Glow Security, yapay zekâ kodlama asistanlarının şirket içi ekran görüntülerini herkese açık GitHub depolarına yüklediğini bildirdi. Şirket bu sorunu “PixelLeak” olarak adlandırıyor. Araştırmacılar, Fortune 500 listesinde yer alan bir seyahat şirketi, finans kuruluşları, bulut hizmeti sağlayıcıları ve temel model geliştiricileri de dahil 343 şirkete ait 13 binden fazla görsel bulduklarını söylüyor. Ekran görüntülerinde çoğu zaman kodlar, kimlik bilgileri veya kamuya açık olması hiç amaçlanmamış ürün tasarımları yer alıyor.
Sızıntılar nasıl yaşandı?
Geliştiriciler, yapay zekâ ajanlarından arayüz değişikliklerini “önce ve sonra” şeklinde göstermelerini sık sık istiyor. GitHub, komut satırı üzerinden özel depolardaki pull request yorumlarına görsel eklenmesine izin vermediği için ajanlar başka bir yol arıyor. Bu geçici çözümde görseller yeni oluşturulan herkese açık bir depoya yükleniyor, ardından özel pull request’e bağlantı ekleniyor. Çoğu durumda geliştirici, görsellerin artık herkes tarafından erişilebilir olduğunu fark etmiyor.
Örneklerden biri, 100 binden fazla çalışanı olan bir üreticiyi ilgilendiriyordu. Bir geliştirici, faturalandırma ekranını kontrol etmesini yapay zekâ ajanından istedi; ajan ekran görüntüsünü kurumsal hesap yerine geliştiricinin kişisel GitHub hesabında paylaştı. Şirketin güvenlik ekibi, sızıntıdan ancak Glow’un bildirimde bulunmasının ardından haberdar oldu.
Sızıntılara hangi araçlar yol açtı?
Sızdırılan görsellerin yaklaşık üçte biri, varsayılan olarak herkese açık bir “gitshot-images” deposu oluşturan açık kaynaklı gitshot aracını kullanan geliştiricilerden geldi. Aracın kendi uyarısında deponun herkese açık olduğu ve hassas içerik barındırmaması gerektiği belirtiliyor; ancak pek çok kullanıcı bu uyarıyı gözden kaçırıyor.
Neden önemli
Kodlama için yapay zekâ asistanlarını kullanan herkes, araç görselleri herkese açık bir konuma yüklerse özel verileri istemeden ifşa edebilir. Şirketlerin yapay zekâ iş akışlarını gözden geçirmesi ve ekran görüntülerinin özel depolarda kalmasını sağlayacak şekilde araçları yapılandırması gerekiyor; aksi takdirde hassas bilgiler herkesin arayabileceği biçimde internette yer alabilir.
