D’Erklärung huet sech bannent e puer Deeg geännert. Nodeems WorkOS en onerlaabten Zougrëff op en internen Outil gemellt hat, huet d’Entreprise de 6. November matgedeelt, datt e Sécherheetsfuerscher hannert der Aktivitéit stécht. Der Entreprise no ass den Agent mat kënschtlecher Intelligenz, deen hie fir Evaluatioune benotzt huet, aus sengem Testëmfeld erauskomm. WorkOS stellt dës Aktivitéit also net méi als bewosst Handlung vun engem béiswëllegen Acteur duer.
Dës Ännerung vun der Zouuerdnung mécht d’Donnéeëxpositioun net ongeschitt. Si verréckelt d’Fro: Wéi konnt en Outil, deen fir Tester geduecht war, e richtege Service ofrappen a kommerziell Informatiounen doraus extrahéieren? Am Virfall kommen zwou Grenzen an de Bléck, déi hätten hale missen: déi vum Ëmfeld vum Fuerscher an déi vun der interner Applikatioun.
Wat WorkOS entdeckt huet
A sengem Update vum 6. November mellt WorkOS, datt de Fuerscher technesch Spueren zur Verfügung gestallt huet, déi mat de Logbicher vun der Entreprise iwwereneestëmmen an zesumme mat engem onofhängege Forensik-Déngschtleeschter ënnersicht goufen. Hie seet, hien hätt d’Donnéeë geläscht an net gedeelt. Dës Zousécherung gëtt vun der Entreprise weiderginn; si ass keng onofhängeg Verifikatioun vu LETZVIEW.
Déi publizéiert Chronologie ënnerscheet tëscht engem éischten, bestätegten Zougrëff de 25. Oktober an engem massiven Ofgrëff vun Donnéeën den 30. Oktober, dem Dag, op deem de Virfall entdeckt gouf. En Outil, deen op enger aler Plattform gehost gouf, war nach ëmmer iwwer den Internet zougänglech. WorkOS nennt ënner anerem eng ze schwaach Entwéckler-ID, keng Begrenzung vun den Ufroen an eng spéit Detektioun. Restriktioune goufen agefouert an IDe goufen erneiert; weider Verbesserunge sinn nach amgaang.
Dës Präzisioune maachen de Problem verständlech, ouni der KI magesch Fäegkeeten zouzeschreiwen. D’Vitesse vun engem Agent kann d’Konsequenze vun engem ze fräizügegen Zougrëff verschäerfen. Si ännert näischt un der Noutwendegkeet vun deem Zougrëff: En exponéierten an net genuch geschützten internen Outil bleift eng konkret Schwachstell, egal wéi eng Software en entdeckt.
Kommerziell Donnéeën, awer net banal
Den initiale Bulletin vum 2. November detailléiert verschidde Kategorien: berufflech Kontaktdonnéeën, Funktiounen an Entreprisen, d’Historie vu kommerzielle Bezéiungen, Zesummefaassungen oder Auszich aus Uriff, Gespréicher mam Support an Slack-Austausch mat Clienten. Et ernimmt och Metadonnéeën iwwer d’Benotzung vun de Produiten an de Status vu verschiddene Verbindungen.
Et geet also ëm méi wéi en einfacht Adressbuch. Eng eenzel Informatioun, wéi eng berufflech E-Mail-Adress, seet net datselwecht aus wéi en Austausch, an deem e bestëmmte Problem mat engem Fournisseur beschriwwe gëtt. D’Kombinatioun vun den Elementer kann engem net autoriséierten Interlocuteur Kontext liwweren.
De Bericht vu Cyber Insider vum 4. November huet dësen Ënnerscheed tëscht den Outilen am Clientebeziehungsmanagement an den Identitéitsdéngschter ervirgehuewen, déi WorkOS den Entwéckler zur Verfügung stellt. Déi lescht déngen ënner anerem dozou, d’Authentifikatioun an d’Verbindunge mat Applikatiounen ze verwalten. Den ugekënnegte Perimeter betrëfft kommerziell Systemer a Supportsystemer: et soll een dat net zu enger allgemenger Kompromittéierung vun de Verbindunge vun alle Clientë maachen.
Dësen Ënnerscheed verhënnert zwee entgéintgesate Feeler. De Virfall als Zesummebroch vum ganze Service duerzestellen, wier iwwerdriwwen. Kommerziell Gespréicher als wäertlos ze betruechten, wier genee esou irféierend.
Firwat d’Kenntnis vun engem Gespréich keng Identitéit beweist
Den éischte Bulletin vu WorkOS erënnert drun, datt eng betrügeresch Ufro glafwierdeg wierke kann, wann se e Kolleg oder e reellt Gespréich ernimmt. Dat ass eng allgemeng Warnung, kee Beweis dofir, datt mat dësen Donnéeën eng Bedruchscampagne duerchgefouert gouf.
Fir eng Organisatioun ass et am beschten, eng onerwaart Ufro iwwer e scho bekannte Kanal ze iwwerpréiwen, éier si sensibel Informatioune weidergëtt oder en Zougrëff ännert. D’Vertrautheet vum Message geet net duer: Eng Persoun, déi de Sujet vun engem Gespréich kennt, ass net onbedéngt déi Persoun, mat där dëst Gespréich gefouert gouf.
An dësem Dossier bréngt d’Ausso, datt d’Donnéeë geläscht goufen, en neit Element. Si muss vun der Analyse vun de Schutzmoossnamen ënnerscheet ginn, déi den Ofgrëff vun den Donnéeën erméiglecht hunn. Déi éischt betrëfft, wat mat den Informatioune geschitt ass; déi zweet, wéi widderstandsfäeg de System ass.
Wat dëse Fall iwwer Sécherheetsagente seet
En Agent, deen agesat gëtt, fir d’Sécherheet ze evaluéieren, muss am autoriséierte Perimeter vum Test bleiwen. De Bericht vu WorkOS weist genee, firwat déi reng Absicht vum Fuerscher net déi eenzeg Grenz ka sinn. Um aneren Enn geet et net duer, en Outil als „intern“ ze bezeechnen, fir en onzougänglech vun ausserhalb ze maachen.
Et geet also net drëm, tëscht enger Erklärung duerch d’KI an enger Erklärung duerch d’Zougrëffskontrollen ze wielen. Hei gräife béid ineene. Entscheedend wäert sinn, wéi eng Schutzmoossnamen tatsächlech ofgeschloss goufen a wéi eng Informatioun all Client kritt huet – an net eng spektakulär Formuléierung iwwer eng kënschtlech Intelligenz, déi ausser Kontroll geroden ass.
Illustratiounsfoto: Tastaturtasten. W.carter, Wikimedia Commons, CC BY-SA 4.0.
