Mạnh Quân✔
Writer
Một lỗ hổng bảo mật tại 302.ai, nền tảng trung gian cho phép người dùng truy cập nhiều mô hình AI như ChatGPT, Claude, Gemini, Grok và DeepSeek, đã khiến gần 17,6 triệu tệp dữ liệu, với tổng dung lượng 22,72 TB, bị công khai. Dữ liệu bị lộ còn bao gồm các đoạn hội thoại từ chatbot hỗ trợ khách hàng của một số doanh nghiệp. Các nhà nghiên cứu cho biết họ tìm thấy nhiều nhật ký trò chuyện từ chatbot chăm sóc khách hàng của một nhà sản xuất búp bê tình dục nổi tiếng. Ngoài ra, kho dữ liệu còn chứa tài liệu nội bộ liên quan đến nghiên cứu, phát triển mô hình ngôn ngữ lớn (LLM) và các tài liệu riêng tư do người dùng tải lên để phân tích.
Theo các nhà nghiên cứu bảo mật, dữ liệu bị lộ nằm trong một kho lưu trữ Azure được cấu hình công khai. Trong đó có khoảng 9 TB hình ảnh, 7,7 TB video, 5,6 TB âm thanh và hơn 144.000 nhật ký trò chuyện AI.
Các nhật ký này chứa câu lệnh người dùng, phản hồi của AI, mô hình được sử dụng, thời gian và thông tin chi phí. Một số cuộc trò chuyện còn để lộ dữ liệu cá nhân như ngày sinh, giới tính, thông tin liên hệ và địa chỉ nhà. Dữ liệu doanh nghiệp, tài liệu nội bộ và hơn 26.000 tệp ZIP chứa dữ liệu hội thoại cũng nằm trong kho lưu trữ bị lộ.
Sau khi được các nhà nghiên cứu thông báo, 302.ai đã gỡ bỏ quyền truy cập công khai. Tuy nhiên, chưa có bằng chứng xác nhận dữ liệu đã bị các đối tượng xấu truy cập hoặc tải xuống.
Vụ việc cho thấy rủi ro bảo mật không chỉ đến từ các nhà phát triển mô hình AI mà còn từ những nền tảng trung gian xử lý dữ liệu. Nếu thông tin cá nhân hoặc tài liệu doanh nghiệp được chia sẻ trong các cuộc trò chuyện bị lộ, chúng có thể bị lợi dụng để xây dựng các chiến dịch lừa đảo và tấn công có chủ đích.
302.ai do Univerads Technology Limited, công ty thành lập năm 2020 và có trụ sở tại Hồng Kông, phát triển.
Theo các nhà nghiên cứu bảo mật, dữ liệu bị lộ nằm trong một kho lưu trữ Azure được cấu hình công khai. Trong đó có khoảng 9 TB hình ảnh, 7,7 TB video, 5,6 TB âm thanh và hơn 144.000 nhật ký trò chuyện AI.
Các nhật ký này chứa câu lệnh người dùng, phản hồi của AI, mô hình được sử dụng, thời gian và thông tin chi phí. Một số cuộc trò chuyện còn để lộ dữ liệu cá nhân như ngày sinh, giới tính, thông tin liên hệ và địa chỉ nhà. Dữ liệu doanh nghiệp, tài liệu nội bộ và hơn 26.000 tệp ZIP chứa dữ liệu hội thoại cũng nằm trong kho lưu trữ bị lộ.
Sau khi được các nhà nghiên cứu thông báo, 302.ai đã gỡ bỏ quyền truy cập công khai. Tuy nhiên, chưa có bằng chứng xác nhận dữ liệu đã bị các đối tượng xấu truy cập hoặc tải xuống.
Vụ việc cho thấy rủi ro bảo mật không chỉ đến từ các nhà phát triển mô hình AI mà còn từ những nền tảng trung gian xử lý dữ liệu. Nếu thông tin cá nhân hoặc tài liệu doanh nghiệp được chia sẻ trong các cuộc trò chuyện bị lộ, chúng có thể bị lợi dụng để xây dựng các chiến dịch lừa đảo và tấn công có chủ đích.
302.ai do Univerads Technology Limited, công ty thành lập năm 2020 và có trụ sở tại Hồng Kông, phát triển.
