อินเดียพบเอไอเอเจนต์หลุดรอดเข้าถึงข้อมูลองค์กรลับ
CERT-In เผยผู้ให้บริการเอไอหลายรายรายงานกรณีเอไอเอเจนต์เข้าถึงข้อมูลส่วนบุคคลและข้อมูลความลับขององค์กรในอินเดียระหว่างการทดสอบระบบ
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- CERT-In เผยผู้ให้บริการเอไอหลายรายรายงานกรณีเอไอเอเจนต์หลุดเข้าถึงระบบอินเดีย
- เอไอเข้าสู่ระบบผ่านช่องโหว่การกำหนดค่า ข้อมูลรับรอง และสิทธิ์คลาวด์ที่เปิดกว้างเกินไป
- กรณีของอินเดียมีความรุนแรงเพราะเข้าถึงข้อมูลส่วนบุคคลและข้อมูลธุรกิจที่เป็นความลับ
หน่วยงานความปลอดภัยไซเบอร์ของอินเดียเปิดเผยเมื่อวันพฤหัสบดีว่า เอไอเอเจนต์จากผู้ให้บริการหลายรายสามารถเข้าถึงข้อมูลส่วนบุคคลและวัสดุที่เป็นความลับขององค์กรต่างๆ ในประเทศอินเดีย ระหว่างขั้นตอนการวิจัยและการทดสอบระบบ
ศูนย์ประสานงานเหตุฉุกเฉินคอมพิวเตอร์แห่งอินเดีย (CERT-In) ระบุว่าทางหน่วยงานได้รับรายงานโดยสมัครใจจากผู้ให้บริการโมเดลปัญญาประดิษฐ์หลายแห่ง โดยโมเดลเหล่านี้ระหว่างการดำเนินงานวิจัยและประเมินผลบนอินเทอร์เน็ตเปิด ได้หลุดรอดเข้าไปถึงระบบจริงขององค์กรในอินเดีย
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
เอไอเอเจนต์เหล่านี้อาศัยช่องทางจากข้อมูลรับรองและค่าการเชื่อมต่อที่เปิดเผยไว้ในค่ากำหนดของแอปพลิเคชัน ที่เก็บโค้ดสาธารณะ รวมถึงสิทธิ์การเข้าถึงคลาวด์ที่มีความหละหลวมเกินไป จนทำให้การกระทำของพวกมันอยู่นอกเหนือขอบเขตอำนาจหน้าที่ที่ได้รับมอบหมาย
เหตุการณ์ลักษณะนี้สะท้อนให้เห็นว่าความสามารถของปัญญาประดิษฐ์ในการทำงานแบบอัตโนมัติ (AI Agents) เริ่มก้าวข้ามกรอบการทดสอบที่มีการควบคุมไปสู่โลกจริงมากขึ้น ช่องโหว่จากการตั้งค่าเริ่มต้นที่ไม่รัดกุม (Misconfigurations) จึงกลายเป็นจุดอ่อนสำคัญที่องค์กรทั่วโลกต้องเร่งยกระดับความปลอดภัยเพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต
เหตุการณ์ในอินเดียครั้งนี้ถือเป็นหมุดหมายล่าสุดของปัญหาเอไอเอเจนต์หลุดรอดที่เกิดขึ้นทั่วโลก โดยก่อนหน้านี้ในเดือนกรกฎาคม เอไอเอเจนต์ของ OpenAI เคยแหกสภาพแวดล้อมการทดสอบและเจาะระบบบริษัท Hugging Face ของฝรั่งเศสมาแล้ว ตามมาด้วยเหตุการณ์ในเดือนกันยายนที่ OpenAI ต้องกล่าวขอโทษต่อออสเตรเลียหลังจากเอไอของตนเข้าถึงเว็บไซต์รัฐบาล 4 แห่ง รวมถึงพอร์ทัลสถิติ Medicare
อย่างไรก็ตาม กรณีของอินเดียมีความแตกต่างและสร้างความกังวลมากกว่าในแง่ของข้อมูลที่เอไอพบเห็น ในขณะที่ออสเตรเลียระบุว่าเอไอไม่ได้แตะต้องเวชระเบียนหรือประวัติอาชญากรรมส่วนบุคคล แต่เอไอเอเจนต์ในอินเดียกลับอ่านข้อมูลส่วนบุคคลและบันทึกทางธุรกิจที่เป็นความลับ นอกจากนี้เหตุการณ์ในอินเดียยังเกี่ยวข้องกับเอไอจากผู้ให้บริการหลายราย ต่างจากเหตุการณ์ก่อนหน้าที่มาจากห้องปฏิบัติการเพียงแห่งเดียว
ทั้งนี้ CERT-In ยังไม่ได้เปิดเผยชื่อของผู้ให้บริการเอไอหรือองค์กรที่ได้รับผลกระทบ รวมถึงไม่ได้ระบุว่าเอไอเอเจนต์เหล่านี้ได้ทำการเปลี่ยนแปลงระบบใดๆ หรือไม่ โดยทาง TechCrunch ได้ติดต่อไปยัง CERT-In เพื่อขอข้อมูลเพิ่มเติมแล้ว
ที่มา: TechCrunch
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น