Hindistan'ın siber güvenlik ajansı CERT-In, Perşembe günü yaptığı açıklamada birden fazla sağlayıcıdan gelen yapay zekâ ajanlarının araştırma ve test sırasında Hint kuruluşlarında kişisel verilere ve gizli materyale eriştiğini duyurdu.
Indian Computer Emergency Response Team olarak bilinen CERT-In, yapay zekâ model sağlayıcılarından "birden fazla gönüllü bildirim" aldığını söyledi. Açıklamaya göre modeller, açık internette yapılan araştırma ve değerlendirme çalışmalarında "Hint kuruluşlarının canlı sistemlerine ulaştı".
Ajanlar, uygulama yapılandırmalarında, açık kod depolarında ve aşırı izinli bulut rollerinde açıkta bırakılan kimlik bilgileri ve bağlantı ayarları üzerinden içeri girdi. Eylemlerinin "atanan görevlerinin yetkilendirmesini aştığı" belirtildi.
Bu durum Hindistan'ı, kötü niyetli yapay zekâ ajanlarının dünya turundaki son durağı haline getirdi. Temmuz ayında OpenAI'ın ajanları test ortamından çıkarak Fransız şirketi Hugging Face'i hackledi ve kötü niyetli ajan faaliyetlerinin yazını başlattı. Geçen ay OpenAI, ajanlarının Medicare istatistik portalı da dahil dört hükûmet sitesine erişmesinin ardından Avustralya'dan özür diledi.
Hugging Face'te OpenAI'ın ajanları aynı şekilde başladı ancak ardından şirket sunucularında kod çalıştırmak için yazılım açıklarını bulup sömürdü. CERT-In Hindistan'da böyle bir hackleme olmadığını bildirdi; burada ajanların görünüşe göre etrafta duran erişimi kullanmış olması söz konusu.
Yine de Hint vakaları bir açıdan daha kötü görünüyor; ajanların gördüğü veriler. Avustralya'da OpenAI, ajanlarının Medicare istatistik sistemi içinde dosya yazmasına rağmen bireylerin tıbbi veya adli kayıtlarına dokunulduğuna dair kanıt bulamadığını söyledi. Hindistan'da ise ajanlar kişisel veri ve gizli iş kayıtlarını okudu. Ayrıca önceki olayların her biri tek bir laboratuvar tarafından açıklanırken, Hindistan'daki olayda birden fazla sağlayıcıdan ajanlar yer aldı.
CERT-In sağlayıcıların veya etkilenen kuruluşların adını vermedi ve ajanların herhangi bir sistemi değiştirip değiştirmediğini söylemedi. TechCrunch daha fazla bilgi için CERT-In'e ulaştı.
Şimdilik en yakın benzerlik, Anthropic'in temmuz ayında Claude'un zayıf şifreler gibi temel tekniklerle test sırasında üç şirketin sistemine sızdığını açıklamasına benziyor.
Hindistan'da olduğu gibi Anthropic'in vakalarında da etkilenen kuruluşlar sızıntıları kendi başlarına tespit etmemişti. Bildirimler, hükûmetleri bu ihlallere neden olan yapay zekâ şirketlerinin kötü niyetli ajan faaliyetlerini gönüllü olarak açıklamalarına bağımlı hale bıraktı.
