Notion-ის მომხმარებელთა მონაცემები AI პროვაიდერის გატეხვის შედეგად გასაჯაროვდა
Notion-მა, რომელიც მთელ მსოფლიოში მილიონობით მომხმარებლისთვის სამუშაო პროცესების მართვის მთავარ ინსტრუმენტს წარმოადგენს, უსაფრთხოების სერიოზული ინციდენტის შესახებ გაავრცელა ინფორმაცია. კომპანიის განცხადებით, მათი ხელოვნური ინტელექტის (AI) სერვისების ერთ-ერთი მთავარი მიმწოდებლის, Fireworks AI-ის სისტემებში განხორციელებულმა კიბერშეტევამ Notion-ის მომხმარებელთა ჩატების ტრანსკრიპტების გაჟონვა გამოიწვია.
რა მოხდა Fireworks AI-ში?
ინციდენტი 23 ოქტომბერს დაიწყო, როდესაც თავდამსხმელებმა მესამე მხარის ღრუბლოვანი სერვისის მეშვეობით შეაღწიეს Fireworks AI-ის განვითარების გარემოში. ჰაკერებმა წვდომა მიიღეს არა მხოლოდ რესურსების მეტამონაცემებზე, არამედ ბილინგის ინფორმაციასა და მოდელების წონებზეც. აღსანიშნავია, რომ ეს Fireworks AI-ისთვის ბოლო პერიოდში უსაფრთხოების მეორე დარღვევაა – ოქტომბრის დასაწყისში კომპანიამ API გასაღებებისა და ტოკენების გაჟონვაც დააფიქსირა.
Notion-მა ინციდენტის შესახებ 2 ნოემბერს შეიტყო, თუმცა თავდაპირველად მიღებული ინფორმაციით, საუბარი იყო მხოლოდ სინთეზურ, სატესტო მონაცემებზე. მას შემდეგ, რაც 8 ნოემბერს გაირკვა, რომ რეალური მომხმარებლების მონაცემებიც დაზარალდა, Notion-მა მყისიერად შეწყვიტა Fireworks AI-თან კავშირი, წაშალა ყველა მონაცემი პარტნიორის სისტემებიდან და შეაჩერა მოდელების გაწვრთნის პროცესები.
რა მონაცემები გასაჯაროვდა?
Notion-ის ცნობით, გაჟონვა შეეხო Insights ფუნქციას, რომელიც მენეჯერებს გუნდების მიერ ხელოვნური ინტელექტის გამოყენების ანალიზის საშუალებას აძლევს. კომპანიის განმარტებით, დაზარალებულთა რაოდენობა Notion-ის მომხმარებელთა საერთო ბაზის 1%-ზე ნაკლებია.
მნიშვნელოვანია, რომ გაჟონილი ჩატების უმეტესობა იყო „არაიდენტიფიცირებადი“, რაც იმას ნიშნავს, რომ მათში არ იყო მითითებული ავტორი ან კონკრეტული სამუშაო სივრცე (workspace). მიუხედავად ამისა, Notion-ი ხაზს უსვამს, რომ Fireworks AI-ს კონტრაქტით ეკრძალებოდა მათი მონაცემების შენახვა, რაც ამ ინციდენტს კიდევ უფრო კრიტიკულს ხდის.
როგორ დაიცვათ თავი?
თუ თქვენი სამუშაო სივრცე დაზარალდა, Notion-ი შესაბამის შეტყობინებას გამოგიგზავნით. მომხმარებლებს, რომლებმაც მიიღეს გაფრთხილება, კომპანია ურჩევს, გადაამოწმონ თავიანთი მონაცემები დესკტოპის ვებ-ინტერფეისში არსებული „Security incident review“ განყოფილების მეშვეობით. ასევე, რეკომენდებულია ყველა იმ პაროლისა და API გასაღების შეცვლა, რომელიც შესაძლოა ჩატებში ყოფილიყო ნახსენები.
თუ თქვენ ან თქვენი გუნდის ადმინისტრატორს არ მიგიღიათ შეტყობინება, სავარაუდოდ, თქვენი მონაცემები დაცულია და დამატებითი ქმედებები საჭირო არ არის. ეს შემთხვევა კიდევ ერთხელ შეახსენებს ქართველ მომხმარებლებს, რომ ციფრული ხელსაწყოების გამოყენებისას ყოველთვის მნიშვნელოვანია მონაცემთა კონფიდენციალურობის პოლიტიკის და იმ მესამე მხარის სერვისების სანდოობის გადამოწმება, რომლებთანაც ჩვენი მონაცემები იგზავნება.