เปิดเผยเหตุการณ์ข้อมูล Secret รั่วไหลบนแพลตฟอร์ม Spaces ของ Hugging Face

 (huggingface.co)
3 คะแนน โดย GN⁺ 2024-06-03 | 1 ความคิดเห็น | แชร์ทาง WhatsApp

การตอบสนองต่อเหตุการณ์ด้านความปลอดภัยของ Hugging Face

ภาพรวมของเหตุการณ์

  • ตรวจพบการเข้าถึงโดยไม่ได้รับอนุญาตบนแพลตฟอร์ม Spaces ของ Hugging Face
  • มีความเป็นไปได้ว่าข้อมูลลับของบาง Spaces ถูกเข้าถึงโดยไม่ได้รับอนุญาต

มาตรการตอบสนอง

  • ในมาตรการแรก ได้เพิกถอนโทเค็น HF ที่เกี่ยวข้อง
  • แจ้งผู้ใช้ที่ได้รับผลกระทบทางอีเมล
  • แนะนำให้รีเฟรชคีย์และโทเค็นทั้งหมด และเปลี่ยนโทเค็น HF ไปเป็น access token แบบละเอียด

มาตรการเสริมความแข็งแกร่งด้านความปลอดภัย

  • กำลังสืบสวนปัญหาและทบทวนนโยบายความปลอดภัยร่วมกับผู้เชี่ยวชาญด้านไซเบอร์ซีเคียวริตี้ภายนอก
  • ได้นำการปรับปรุงสำคัญหลายประการมาใช้เพื่อเสริมความปลอดภัยของโครงสร้างพื้นฐาน Spaces:
    • ยกเลิก organization token โดยสมบูรณ์ เพื่อเพิ่มความสามารถในการติดตามและการตรวจสอบย้อนหลัง
    • นำระบบ Key Management Service (KMS) มาใช้กับข้อมูลลับของ Spaces
    • เสริมความสามารถของระบบในการระบุโทเค็นที่รั่วไหลและทำให้ใช้งานไม่ได้ล่วงหน้า
    • ปรับปรุงความปลอดภัยโดยรวม
    • เมื่อ access token แบบละเอียดมีความสมบูรณ์ด้านฟังก์ชันแล้ว มีแผนจะยกเลิกโทเค็นอ่านและเขียนแบบ "classic" ทั้งหมด

มาตรการทางกฎหมาย

  • ได้รายงานเหตุการณ์นี้ต่อหน่วยงานบังคับใช้กฎหมายและหน่วยงานคุ้มครองข้อมูลแล้ว

คำแนะนำถึงผู้ใช้

  • ขอโทษอย่างจริงใจต่อความไม่สะดวกที่เกิดจากเหตุการณ์นี้ และให้คำมั่นว่าจะใช้โอกาสนี้ในการเสริมความปลอดภัยของโครงสร้างพื้นฐานทั้งหมด
  • หากมีคำถามเพิ่มเติม แนะนำให้ติดต่อที่ security@huggingface.co

ความเห็นของ GN⁺

  • ความจำเป็นของการเสริมความปลอดภัย: เหตุการณ์ครั้งนี้ตอกย้ำอีกครั้งถึงความสำคัญของการยกระดับความปลอดภัยบนแพลตฟอร์มซอฟต์แวร์ โดยเฉพาะการควบคุมการเข้าถึงและการมอนิเตอร์ข้อมูลที่มีความอ่อนไหว
  • access token แบบละเอียด: access token แบบละเอียดเป็นวิธีที่ดีในการเพิ่มความปลอดภัย เพราะสามารถใช้หลักการสิทธิ์เท่าที่จำเป็นเพื่อจำกัดสิทธิ์ที่ไม่จำเป็นได้
  • ความร่วมมือกับผู้เชี่ยวชาญภายนอก: การร่วมมือกับผู้เชี่ยวชาญด้านไซเบอร์ซีเคียวริตี้ภายนอกช่วยอย่างมากในการแก้ปัญหา ทำให้สามารถรับมือกับปัญหาซับซ้อนที่ทีมภายในอาจจัดการได้ยาก
  • การตอบสนองทางกฎหมาย: การรายงานต่อหน่วยงานบังคับใช้กฎหมายและหน่วยงานคุ้มครองข้อมูลมีความสำคัญต่อการรักษาความโปร่งใสและการฟื้นฟูความเชื่อมั่นของผู้ใช้
  • การสื่อสารกับผู้ใช้: การแจ้งสถานการณ์แก่ผู้ใช้อย่างรวดเร็วและชัดเจนเป็นสิ่งจำเป็นต่อการรักษาความเชื่อมั่น และช่วยเสริมสร้างความไว้วางใจระหว่างผู้ใช้กับบริการ

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2024-06-03
ความคิดเห็นจาก Hacker News
  • Jossef Harush Kadouri พบจากสไลด์ที่นำเสนอในงานประชุมด้านความปลอดภัยว่า เมื่อใช้โมเดลจากที่อย่าง Huggingface ผู้เขียนโมเดลสามารถรันโค้ดตามอำเภอใจบนคอมพิวเตอร์ของผู้ใช้ได้
  • ในฐานะคนที่ไม่ได้อยู่ในสาย AI เดิมทีคิดว่าไฟล์โมเดลเป็นเพียงเมทริกซ์ตัวเลขและเมตาดาตา แต่ตอนนี้เข้าใจแล้วว่าแท้จริงมันประกอบด้วยสคริปต์ Python จึงทำให้การทำให้เป็นมาตรฐานเกิดขึ้นได้ง่าย
  • วลี "พวกเขามีความสงสัย" ไม่เหมาะที่จะใช้ในการสื่อสารลักษณะนี้
  • Huggingface ได้ทำงานจำนวนมากเพื่อปรับปรุงโครงสร้างพื้นฐานด้านความปลอดภัย และควรนำไปสู่กิจกรรมที่ใช้เวลามากขึ้น เช่น การตรวจสอบความปลอดภัยและการทดสอบเจาะระบบ
  • เมื่อไม่กี่สัปดาห์ก่อน มีการรั่วไหลของคีย์ OpenAI และมันถูกเปิดใช้งานอยู่เฉพาะใน Huggingface Spaces เท่านั้น ไม่กี่วันก่อนก็ได้รับอีเมลว่า Space ถูกบุกรุก
  • คีย์ของ Anthropic รั่วไหลและทำให้เกิดค่าใช้จ่าย 10,000 ดอลลาร์ จึงสงสัยว่า Huggingface จะชดเชยให้หรือไม่
  • เพราะพาดหัว เลยคิดว่าเป็นบทความเกี่ยวกับอวกาศ แต่จริง ๆ แล้วเป็นบทความเกี่ยวกับ Spaces ของ Huggingface
  • ไม่มีการกล่าวถึงการจัดการค่าใช้จ่ายที่เกิดขึ้นอย่างไม่เหมาะสม หากเข้าถึงข้อมูลลับได้ ก็ย่อมสามารถเรียก API และทำให้เกิดค่าใช้จ่ายได้ไม่ใช่หรือ?
  • สงสัยว่า "Spaces" คืออะไร
  • ไม่เข้าใจว่าทำไม Huggingface ต้องเก็บ "ความลับ" ไว้ด้วย ดูเหมือนว่าการเก็บ public key แล้วให้ผู้ใช้เซ็นคำขอด้วย secret key น่าจะดีกว่า
  • เมื่อพิจารณาว่าแม้แต่การทำงานง่าย ๆ ยังยากแค่ไหน ปัญหาครั้งนี้จึงไม่น่าแปลกใจ