OpenAI ने कर्मचारियों के उपकरणों पर Shai-Hulud सप्लाई चेन हमले के माध्यम से उल्लंघन की पुष्टि की

OpenAI ने पुष्टि की है कि Shai-Hulud सप्लाई चेन हमले से मैलवेयर ने दो कर्मचारियों के उपकरणों को संक्रमित किया और आंतरिक रिपॉजिटरी तक पहुंच प्राप्त की। कंपनी ने एक संक्षिप्त बयान में इस उल्लंघन का खुलासा किया, यह स्वीकार करते हुए कि हमलावर समझौता किए गए सिस्टम से कोड और डेटा निकालने में सफल रहे। एक्सेस किए गए डेटा के पैमाने या घुसपैठ की समयसीमा के बारे में कोई और विवरण जारी नहीं किया गया है।

हमला कैसे काम करता था

Shai-Hulud अभियान सॉफ्टवेयर सप्लाई चेन को लक्षित करता है, वैध पैकेजों या डेवलपमेंट टूल्स में दुर्भावनापूर्ण कोड इंजेक्ट करता है। OpenAI के मामले में, मैलवेयर संभवतः एक समझौता किए गए डिपेंडेंसी या अपडेट के माध्यम से दो कर्मचारी मशीनों पर पहुंच गया। एक बार अंदर जाने के बाद, यह आंतरिक रिपॉजिटरी तक पहुंच गया, जहां कंपनी मालिकाना कोड और मॉडल संग्रहीत करती है।

Shai-Hulud ऑपरेशन पर नज़र रखने वाले सुरक्षा शोधकर्ताओं ने चेतावनी दी है कि यह अत्यधिक लक्षित और पहचानना मुश्किल है। हमलावर मूल्यवान बौद्धिक संपदा वाली तकनीकी कंपनियों पर ध्यान केंद्रित करते प्रतीत होते हैं। OpenAI की पुष्टि इसे अभियान से सार्वजनिक रूप से जुड़े सबसे प्रमुख पीड़ितों में से एक बनाती है।

क्या लिया गया

कंपनी ने यह निर्दिष्ट नहीं किया है कि किन रिपॉजिटरी तक पहुंच बनाई गई या क्या कोई मॉडल वेट, प्रशिक्षण डेटा या ग्राहक जानकारी चुराई गई। बयान केवल यह कहता है कि उपकरणों को संक्रमित करने के बाद मैलवेयर ने आंतरिक रिपॉजिटरी तक पहुंच बनाई। जांचकर्ता अभी भी उल्लंघन के पूर्ण दायरे का मानचित्रण कर रहे हैं।

OpenAI ने कहा कि उसने तब से संक्रमित मशीनों को साफ कर दिया है, क्रेडेंशियल बदल दिए हैं और कानून प्रवर्तन को सूचित किया है। कंपनी ने यह भी कहा कि वह अपनी सप्लाई चेन सुरक्षा प्रथाओं की समीक्षा कर रही है, हालांकि उसने किसी भी बदलाव के लिए कोई समयसीमा नहीं दी।

उद्योग के लिए व्यापक निहितार्थ

Shai-Hulud हमला एक बढ़ते जोखिम को रेखांकित करता है: सप्लाई चेन संक्रमण जो पारंपरिक परिधि रक्षा को दरकिनार करते हैं। दो संक्रमित कर्मचारी लैपटॉप हमलावरों को दुनिया की सबसे गुप्त AI प्रयोगशालाओं में से एक के अंदर पैर जमाने के लिए पर्याप्त थे। अन्य तकनीकी कंपनियां संभवतः समान समझौते के संकेतों के लिए अपने स्वयं के कोड पाइपलाइनों की समीक्षा कर रही हैं।

OpenAI का खुलासा ऐसे समय में हुआ है जब नियामक महत्वपूर्ण बुनियादी ढांचे और AI विकास में कड़े साइबर सुरक्षा मानकों के लिए दबाव डाल रहे हैं। यह घटना अनिवार्य ब्रीच रिपोर्टिंग और सॉफ्टवेयर सप्लाई चेन के तीसरे पक्ष के ऑडिट की मांगों को तेज कर सकती है।

कंपनी का कहना है कि वह अपनी जांच आगे बढ़ने पर अपडेट प्रदान करेगी। फिलहाल, अनुत्तरित प्रश्न यह है कि क्या हमलावरों ने कुछ ऐसा चुराया जिसे वे हथियार बना सकते थे - या क्या वे केवल सुरक्षा की जांच कर रहे थे।