Microsoft fait face à une fuite de données importante causée par ses chercheurs en IA. L’équipe IA de l’entreprise, qui était en train de télécharger des données d’entraînement pour permettre à d’autres chercheurs de former des modèles d’IA pour la reconnaissance d’images, a accidentellement exposé les données sensibles. Les données divulguées comprenaient de nombreux « secrets, clés privées, mots de passe et plus de 30 000 messages internes de Microsoft Teams ». Les informations proviennent de Wiz, une entreprise de sécurité cloud, qui a été la première à remarquer cette violation de données.
Fuite de données de Microsoft : 38 To de données privées exposées via un jeton SAS
Microsoft a été très actif dans le domaine de l’IA. L’entreprise a investi des milliards dans OpenAI pour établir un partenariat solide dans le domaine de l’utilisation et du développement de ChatGPT. En conséquence, l’entreprise a revu son assistant Bing qui est désormais alimenté par ChatGPT 4. Elle intègre également l’IA dans la plupart de ses services, lançant ainsi une véritable révolution de l’IA dans son écosystème. Cependant, des accidents peuvent se produire lorsque l’entreprise cherche à pousser et à faire évoluer son IA. C’est le cas de cette énorme fuite de données.
Dans un rapport officiel, Microsoft a déclaré que « aucune donnée client n’a été exposée et aucun autre service interne de l’entreprise n’a été mis en danger en raison de ce problème ». L’entreprise souligne également qu’aucune action n’était requise de la part des clients. Le lien vers les données incluant les fichiers a été créé à l’aide d’une fonctionnalité d’Azure appelée « jetons SAS ». Les soi-disant « jetons SAS » permettent aux utilisateurs de créer des liens partageables rapidement et facilement. Wiz a découvert pour la première fois l’accès aux données le 22 juin et a alerté Microsoft. Le jeton a été révoqué le lendemain et Microsoft affirme avoir résolu le problème en ajustant les jetons SAS qui étaient plus permissifs que prévu.
« Les informations exposées comprenaient des informations propres à deux anciens employés de Microsoft et aux postes de travail de ces anciens employés », a déclaré l’entreprise. « Aucune donnée client n’a été exposée et aucun autre service Microsoft n’a été mis en danger à cause de ce problème. Les clients n’ont pas besoin de prendre de mesures supplémentaires pour rester en sécurité. Comme tous les secrets, les jetons SAS doivent être créés et gérés de manière appropriée. Comme toujours, nous encourageons vivement les clients à suivre nos meilleures pratiques lors de l’utilisation de jetons SAS pour minimiser le risque d’accès ou d’utilisation non autorisés. » – Microsoft officiel.
La course à l’IA représente un risque pour les données sensibles – à moins que des mesures de sécurité supplémentaires ne soient adoptées
Malheureusement, avec la montée en puissance de l’IA, ce genre d’événements risque de se produire plus fréquemment à l’avenir. Les entreprises sont confrontées à de nouveaux risques lorsqu’elles essaient de tirer parti du pouvoir de l’IA de manière plus générale. Comme de plus en plus de leurs ingénieurs travaillent avec d’énormes quantités de données d’entraînement, cela nécessitera des vérifications et des sauvegardes de sécurité supplémentaires.
Comme le souligne Wiz, les jetons SAS posent actuellement un risque pour la sécurité. Ils permettent de partager des informations avec des entités externes non identifiées. Pour améliorer la sécurité des jetons SAS, les entreprises doivent opter pour les jetons SAS de service avec une politique d’accès stockée. Cette fonctionnalité particulière relie le jeton SAS à une politique côté serveur. Elle permet de gérer les politiques et de les révoquer de manière centralisée. Les jetons SAS de compte standard manquent de gouvernance et de sécurité. Par conséquent, les erreurs de création de jetons peuvent passer inaperçues, exposant ainsi de grandes quantités de données.
Esperons que Microsoft tirera les leçons de cette erreur et améliorera les mesures de sécurité pour éviter de futures fuites de données comme celle-ci. Toutes les autres entreprises travaillant avec l’IA devraient faire de même pour éviter que d’énormes quantités de données sensibles ne tombent entre les mains de personnes malveillantes.
Actualité mobile et vidéo du moment
