Biztonsági incidens érintette a Comet Opik szolgáltatását

Inaktív fiók kulcsával indult a támadás

A Comet október 27-én közzétett beszámolója szerint az incidens október 24. és 26. között zajlott, és az Opik comet.com-on elérhető változatát érintette. Október 26-án a vállalat azonosította és megfékezte a történteket.

Az illetéktelen fél egy inaktív comet.com-fiók felhasználói API-kulcsát használta. A Comet közlése szerint ez ugyanolyan típusú kulcs, amilyet bármely Opik-felhasználó használhat, de önmagában nem biztosít hozzáférést a vállalat belső rendszereihez. A cégnek nincs bizonyítéka arra, hogy a kulcs megszerzésében a saját rendszerei érintettek lettek volna.

A fiók nem rendelkezett rendszergazdai jogosultsággal, és nem fért hozzá ügyfél-munkaterületekhez vagy ügyféladatokhoz. A támadó a Comet néhány belső teszt-munkaterületén kihasznált egy hibát az Opik mesterségesintelligencia-szolgáltatói beállításaiban. Így 29, a Comet által belsőleg használt OpenAI- és Anthropic-API-kulcsot szerzett meg.

Ügyféladatokhoz nem fértek hozzá

A Comet szerint az Opikban tárolt ügyféladatokat, köztük a nyomkövetéseket, szakaszokat, adathalmazokat és promptokat, nem érintette az incidens. Nem történt ügyfél- vagy felhasználói fiókokhoz való hozzáférés, és ilyen fiókokat sem vettek át.

Az ügyfelek mesterségesintelligencia-szolgáltatói kulcsai szintén nem kerültek veszélybe. A vállalat kizárólag a saját Opik-teszt-munkaterületeiben tárolt, belső használatú kulcsokat minősítette érintettnek. A támadó megpróbálta ugyanezt a hibát más Comet-rendszerek elérésére is felhasználni, de a cég közlése szerint nem jutott ügyféladatokhoz.

A Comet mind a 29 érintett kulcsot visszavonta. A vállalat eltávolította az inaktív fiókot minden munkaterületről, átvizsgálta a munkaterületek régi tagjait, és elővigyázatosságból lecserélte az összes belső hitelesítő adatot. A hozzáférési naplók ellenőrzése után azt is megerősítette, hogy nem kerültek ki ügyféladatok.

Javították a hibát, az Opik átmenetileg leállt

Miután egy mesterségesintelligencia-szolgáltató szokatlan aktivitásra figyelmeztette a Cometet, a cég még október 26-án blokkolta a kihasznált funkciót, majd javítást telepített. Az Opik a beavatkozás idején körülbelül két órán keresztül nem volt elérhető a comet.com-on. Átmenetileg letiltották többek között az AI-szolgáltatói beállításokat, a Playgroundot és az Ollie-t.

A javítás részeként az Opiknak ismét meg kell adni az API-kulcsot, ha megváltozik a szolgáltató címe. A rendszer azt is korlátozza, hogy a szolgáltatói kérések milyen címekhez férhetnek hozzá. A Comet további megfigyelést vezetett be a szolgáltatói beállítások módosítására és a szokatlan kimenő forgalomra.

A felhasználóknak nincs kötelező teendőjük

A Comet szerint azoknak, akik az Opiket a comet.com-on vagy a cég által kezelt dedikált telepítésben használják, nincs teendőjük, mivel a javítás már életbe lépett. A saját üzemeltetésű vagy nyílt forráskódú Opik-telepítéseket nem érintette az incidens, amely kizárólag a comet.com-hoz kapcsolódott.

A vállalat ugyanakkor közölte, hogy a mögöttes hiba korábbi nyílt forráskódú kiadásokban is jelen volt. Kihasználásához olyan fiók kellett, amely jogosultsággal rendelkezik az AI-szolgáltatói beállítások módosítására. Mivel a saját üzemeltetésű Opik alapértelmezés szerint nem engedélyezi a nyilvános regisztrációt, ezt csak a meghívott felhasználók tehették volna meg. A Comet ennek ellenére a legújabb verzióra való frissítést ajánlja.