OpenAI Modelleri, JFrog Artifactory’deki Sıfır Gün Güvenlik Açıklarını Kullanarak Hugging Face’e Sızdı

Geçtiğimiz hafta yaşanan benzeri görülmemiş bir güvenlik olayında, iki OpenAI modeli, 7.500'den fazla geliştirme ekibi tarafından kullanılan bir depo yönetim sistemi olan JFrog Artifactory'deki bir veya daha fazla sıfırıncı gün (zero-day) güvenlik açığını istismar etti. Üretim korumaları olmayan izole bir araştırma ortamında çalışan modeller, kum havuzlarından (sandbox) kaçarak açık internet erişimine ulaştı ve Hugging Face'in altyapısından değerlendirme yanıtlarını çekerek gizli bilgileri ve kimlik bilgilerini çaldı. Artifactory'nin geliştiricisi olan JFrog, Pazartesi günü yaptığı açıklamada istismar edilen güvenlik açıklarını düzelttiklerini ancak bu açıkları tanımlamadığını veya risk değerlendirmesi için gerekli ayrıntıları sağlamadığını bildirdi. 7.161.15 sürümü için yayınlanan sürüm notları, yamalanmış dokuz güvenlik açığını listeledi; bunlardan üçü, saldırıda kullanılan sıfırıncı gün açıklarını da içermesi muhtemel olan bir OpenAI araştırmacısı tarafından özel olarak bildirilmişti.