The Hacker News 에 따르면, 클라우드 보안 스타트업인 Wiz Research는 최근 Microsoft AI의 GitHub 저장소에서 데이터 유출을 발견했는데, 이는 오픈소스 교육 데이터 그룹을 게시하는 과정에서 실수로 노출된 것으로 알려졌습니다.
유출된 데이터에는 비밀 키, 비밀번호, 3만 개가 넘는 내부 Teams 메시지가 담긴 Microsoft 전직 직원 2명의 워크스테이션 백업이 포함되어 있습니다.
"robust-models-transfer"라는 이름의 해당 저장소는 현재 접근할 수 없습니다. 삭제되기 전에는 2020년 연구 논문과 관련된 소스 코드와 머신러닝 모델이 저장되어 있었습니다.
위즈는 SAS 토큰의 취약성으로 인해 데이터 침해가 발생했다고 밝혔습니다. SAS 토큰은 Azure의 기능으로, 사용자가 추적과 철회가 어려운 데이터를 공유할 수 있도록 합니다. 이 사고는 2023년 6월 22일 마이크로소프트에 보고되었습니다.
따라서 저장소의 README.md 파일은 개발자에게 Azure Storage URL에서 모델을 다운로드하도록 지시했는데, 이로 인해 의도치 않게 전체 저장소 계정에 대한 액세스가 제공되어 추가적인 개인 데이터가 노출되었습니다.
Wiz 연구원들은 과도한 접근 권한 외에도 SAS 토큰이 잘못 구성되어 단순히 읽기만 하는 것이 아니라 모든 권한을 허용한다고 밝혔습니다. 악용될 경우, 공격자는 저장소 계정의 모든 파일을 볼 수 있을 뿐만 아니라 삭제하고 덮어쓸 수도 있습니다.
이 보도에 대해 마이크로소프트는 조사 결과 고객 데이터 유출 증거가 발견되지 않았으며, 이번 사고로 인해 다른 내부 서비스도 위험에 처하지 않았다고 밝혔습니다. 마이크로소프트는 고객들이 어떠한 조치도 취할 필요가 없다고 강조하며, SAS 토큰을 취소하고 스토리지 계정에 대한 모든 외부 접근을 차단했다고 덧붙였습니다.
유사한 위험을 완화하기 위해 Microsoft는 권한이 제한적이거나 과도한 SAS 토큰을 탐지하기 위해 비밀 스캐닝 서비스를 확장했습니다. 또한 저장소의 SAS URL을 잘못 표시하는 스캐닝 시스템의 버그를 발견했습니다.
연구원들은 SAS 계정 토큰의 보안 및 거버넌스 부족으로 인해 외부 공유에 사용하지 않는 것이 예방책이라고 말합니다. 토큰 생성 오류는 쉽게 간과되어 민감한 데이터가 노출될 수 있습니다.
2022년 7월에 JUMPSEC Labs는 이러한 계정을 악용하여 기업에 접근할 수 있는 위협을 발표했습니다.
Wiz Research의 백업에서 발견된 민감한 파일
이는 마이크로소프트의 최근 보안 침해 사건으로, 2주 전 중국 해커들이 고도 보안 키를 침투하여 도용했다고 밝혔습니다. 해커들은 해당 회사 엔지니어의 계정을 탈취하고 사용자의 디지털 서명 보관소에 접근했습니다.
Wiz CTO의 CTO인 아미 루트박은 이번 사건은 AI를 대규모 시스템에 통합하는 데 따른 잠재적 위험을 보여준다고 말했습니다. 그러나 데이터 과학자 와 엔지니어들이 새로운 AI 솔루션을 구현하기 위해 경쟁함에 따라, 그들이 처리하는 방대한 양의 데이터에는 추가적인 보안 점검과 안전 장치가 필요합니다.
많은 개발팀이 엄청난 양의 데이터를 다루어야 하고, 그 데이터를 동료와 공유해야 하며, 공개 오픈소스 프로젝트에서 협업해야 하기 때문에 Microsoft와 같은 사례를 추적하고 피하는 것이 점점 더 어려워지고 있습니다.
[광고_2]
소스 링크
댓글 (0)