सुरक्षा कमजोरीका कारण 'एआई एग्रिगेटर' 302.ai बाट ठूलो मात्रामा प्रयोगकर्ताको डेटा चुहावट
साइबर समाचार आउटलेट साइबरन्यूज (Cybernews) का अनुसन्धानकर्ताहरूले सार्वजनिक रूपमा उपलब्ध रहेको एजुर स्टोरेज बकेट (Azure storage bucket) मा यो डेटा फेला पारेका थिए। अनुसन्धानका अनुसार, चुहावट भएको डेटाको मात्रा २२.७२ टेराबाइट (TB) भन्दा बढी छ, जसमा १ करोड ७६ लाख भन्दा बढी फाइलहरू छन्।
एजेन्सी | हङकङस्थित कम्पनी युनिभेराड्स टेक्नोलोजी लिमिटेडद्वारा विकसित एआई एग्रिगेटर प्लेटफर्म, 302.ai मा गम्भीर सुरक्षा कमजोरी देखिएको छ। यस कमजोरीका कारण विश्वभरका निजी र संस्थागत प्रयोगकर्ताहरूको ठूलो मात्रामा संवेदनशील डेटा सार्वजनिक रूपमा उजागर भएको साइबर अनुसन्धानकर्ताहरूले पत्ता लगाएका छन्।
302.ai एउटा यस्तो माध्यम हो जसले प्रयोगकर्ताहरूलाई विभिन्न प्रमुख आर्टिफिसियल इन्टेलिजेन्स (AI) मोडलहरू, जस्तै ChatGPT, Claude, Grok, DeepSeek, Gemini र अन्य धेरै सेवाहरू एकै ठाउँबाट पहुँच गर्न मद्दत गर्छ। यो सेवा प्रयोग गर्ने क्रममा प्रयोगकर्ताहरूले एआईसँग गरेका कुराकानी र अपलोड गरेका फाइलहरू लीक भएका हुन्।
डेटा चुहावटको विवरण
साइबर समाचार आउटलेट साइबरन्यूज (Cybernews) का अनुसन्धानकर्ताहरूले सार्वजनिक रूपमा उपलब्ध रहेको एजुर स्टोरेज बकेट (Azure storage bucket) मा यो डेटा फेला पारेका थिए। अनुसन्धानका अनुसार, चुहावट भएको डेटाको मात्रा २२.७२ टेराबाइट (TB) भन्दा बढी छ, जसमा १ करोड ७६ लाख भन्दा बढी फाइलहरू छन्।
अनुसन्धानकर्ताहरूका अनुसार, यो डेटा चुहावट कुनै ह्याकरको आक्रमणभन्दा पनि एआई एग्रिगेटरको स्टोरेज सिस्टममा भएको गलत कन्फिगरेसन (misconfiguration) का कारण भएको हो। यसलाई "मानव-निर्मित त्रुटि" मानिएको छ, जसले डेटालाई असुरक्षित रूपमा इन्टरनेटमा छोडिदिएको थियो।
चुहावट भएका मुख्य विवरणहरू:
एआई प्रोम्प्टहरू (User Prompts): प्रयोगकर्ताहरूले एआईसँग सोधेका प्रश्नहरू र कमान्डहरू।
एआईका जवाफहरू (Replis from Assistant): एआई मोडलले दिएका उत्तरहरू।
मिडिया फाइलहरू: ९ टेराबाइट भन्दा बढी तस्बिरहरू, ७.७ टेराबाइट भिडियोहरू र ५.६ टेराबाइट अडियो फाइलहरू।
निजी र संस्थागत कागजातहरू: प्रयोगकर्ताहरूले एआईसँग विश्लेषण वा अनुवादका लागि अपलोड गरेका विभिन्न फाइलहरू।
च्याट लगहरू: १ लाख ४४ हजार भन्दा बढी च्याट लगहरू, जसमा व्यक्तिगत पहिचान खुल्ने जानकारी (PII) पनि सामेल थियो।
साइबरन्यूजको टीमले केही च्याट लगहरूमा प्रयोगकर्ताको जन्म मिति, लिङ्ग, सम्पर्क जानकारी, र घरको ठेगाना जस्ता संवेदनशील व्यक्तिगत विवरणहरू समेत फेला पारेको छ।
निजी र संस्थागत प्रयोगकर्ताहरू प्रभावित
डेटा लीकबाट निजी प्रयोगकर्ताहरू मात्र नभई ठूला कम्पनीहरू पनि प्रभावित भएका छन्। धेरै कम्पनीहरूले 302.ai को सेवालाई एन्टरप्राइज कार्यहरूको लागि प्रयोग गरिरहेका थिए। अनुसन्धान टीमका अनुसार, एउटा च्याट लगमा प्रसिद्ध सेक्स डल निर्माता कम्पनीको कस्टमर सपोर्ट च्याटबोट सँगको कुराकानी पनि भेटिएको थियो।
सम्भावित जोखिमहरू
यद्यपि, लीक भएको डेटालाई अहिलेसम्म कुनै恶意पूर्ण व्यक्तिहरूले डाउनलोड वा दुरुपयोग गरेको प्रमाण भेटिएको छैन। अनुसन्धान टीमले कम्पनीलाई खबर गरेपछि, त्यो डेटा अहिले अफलाइन गरिएको छ।
तथापि, साइबर अनुसन्धानकर्ताहरूले पत्ता लगाउन सकेको यो डेटा अन्य गलत व्यक्तिहरूको हातमा पनि परेको हुन सक्ने सम्भावनालाई नकार्न सकिँदैन। यदि यो डेटा गलत व्यक्तिहरूको हातमा परेमा, यसलाई विभिन्न प्रकारका साइबर आक्रमणहरूका लागि प्रयोग गर्न सकिन्छ।
सम्भावित जोखिमहरू:
निजीकृत सामाजिक ईन्जिनियरिङ् (Personalized Social Engineering): लीक भएका च्याट लगहरू र व्यक्तिगत विवरणहरूको प्रयोग गरी प्रयोगकर्ताहरूलाई अझ विश्वासिलो रूपमा फिसिङ वा अन्य साइबर आक्रमणको सिकार बनाउन सकिन्छ।
स्पियर फिसिङ (Spear Phishing): प्रयोगकर्ताहरूले एआईसँग गरेका कुराकानी र अपलोड गरेका सामग्रीहरूको अध्ययन गरी, उनीहरूको हालको समस्या वा रुचिमा आधारित रहेर अझ घातक र निजीकृत आक्रमणहरू गर्न सकिन्छ।
डेटा सुरक्षा केवल 'बिग टेक' को जिम्मेवारी होइन
यो घटनाले डेटा सुरक्षाको जिम्मेवारी केवल ठूला टेक कम्पनीहरूको मात्र नभई, एआई एजेन्टहरू र प्रयोगकर्ताका डेटा ह्यान्डल गर्ने हरेक व्यवसायको हो भन्ने कुरालाई उजागर गरेको छ।
“व्यक्तिगत र व्यवसायहरूले एआई एजेन्टहरूमा संवेदनशील जानकारी, चाहे त्यो व्यक्तिगत विवरण होस् वा व्यवसायिक सञ्चालनको जानकारी, बढ्दो रूपमा विश्वास गरिरहेका छन्,” अनुसन्धान टीमले स्पष्ट पारेको छ। “त्यसैले, केवल प्राथमिक एआई कम्पनीहरू मात्र होइन, बरु यी एजेन्टहरूलाई ह्यान्डल गर्ने व्यवसायहरूले पनि यी च्याटहरूमा हुन सक्ने जुनसुकै जानकारीलाई सकेसम्म सुरक्षित रूपमा ह्यान्डल गर्ने जिम्मेवारी लिनुपर्छ।”
कम्पनीको स्थिति
302.ai प्लेटफर्मलाई हङकङमा आधारित कम्पनी युनिभेराड्स टेक्नोलोजी लिमिटेड ले विकास गरेको हो, जुन २०२० मा स्थापना भएको थियो। साइबरन्यूजले कम्पनीसँग टिप्पणीको लागि अनुरोध गरेको छ, तर अहिलेसम्म कुनै जवाफ प्राप्त भएको छैन। एआई एग्रिगेटर प्लेटफर्महरूबाट यस प्रकारको डेटा चुहावट हुनुले एआईको बढ्दो प्रयोगसँगै डेटा सुरक्षाको चुनौती पनि बढेको संकेत गरेको छ।
