Anthropic báo nguy cơ lộ dữ liệu khoảng 100 tài khoản Claude doanh nghiệp; PIPC đang xem xét

Anthropic đã báo cáo với Ủy ban Bảo vệ Thông tin Cá nhân Hàn Quốc (PIPC) ngày 31 tháng 10 về khả năng thông tin của khoảng 100 tài khoản Claude doanh nghiệp tại Hàn Quốc bị lộ ra bên ngoài.

Ngày 9 tháng 11, PIPC cho biết đang xem xét sơ bộ nội dung báo cáo. Cơ quan này chưa quyết định có mở cuộc điều tra chính thức hay không, còn quy mô thiệt hại cụ thể chưa được xác định.

Con số khoảng 100 đề cập đến tài khoản doanh nghiệp. Các bản tin dùng những cách diễn đạt khác nhau như khoảng 100, hơn 100 hoặc trên 100 tài khoản, nên chưa thể xác định số lượng chính xác. Số lượng và phạm vi thông tin cá nhân thực sự bị xem cũng chưa được công bố.

Thông báo khách hàng của Anthropic do nhà nghiên cứu bảo mật Jamieson O’Reilly công bố liệt kê tên và địa chỉ email trong nhóm thông tin liên hệ công việc có khả năng bị lộ.

Thông báo cũng nêu ID tài khoản doanh nghiệp, ID tổ chức, cấp gói dịch vụ cùng các chỉ số sử dụng và chi tiêu là những thông tin có thể bị truy cập.

Theo thông báo, nội dung trò chuyện với Claude, câu lệnh và phản hồi, mật khẩu, thông tin thẻ thanh toán và tài khoản ngân hàng không nằm trong phạm vi có thể bị truy cập.

Anthropic cho biết đã chặn quyền truy cập và khắc phục lỗ hổng. Công ty cũng nói rằng một công ty bảo mật đã xác nhận bằng văn bản việc xóa dữ liệu truy cập và cam kết không sử dụng dữ liệu này; Anthropic không tìm thấy bằng chứng về việc dữ liệu bị sử dụng sai mục đích.

Chưa có tài liệu công khai xác minh độc lập việc dữ liệu truy cập đã thực sự bị xóa hay chưa.

Washington Post đưa tin Cathedral đã khai thác lỗ hổng trong phần mềm doanh nghiệp của bên thứ ba để truy cập hệ thống nội bộ của Anthropic. Anthropic cho biết hoạt động truy cập chỉ diễn ra trong một số khu vực giới hạn thuộc hệ thống bán hàng, nhân sự và công nghệ thông tin.

Anthropic nói Cathedral không truy cập được mã nguồn và trọng số mô hình. Việc báo cáo sự cố này không đồng nghĩa với kết luận rằng bản thân mô hình Claude đã bị xâm nhập.

Anthropic cho biết hoạt động của Cathedral bắt đầu trong khuôn khổ chương trình kiểm thử bảo mật bên ngoài, nhưng việc truy cập thông qua phần mềm của bên thứ ba nằm ngoài phạm vi được chương trình cho phép. Thông báo gửi khách hàng mô tả hoạt động truy cập này là không được phép.

Thông báo khách hàng không nêu tên công ty bảo mật. Trong phần giải thích công khai sau đó, nhân viên Anthropic Lydia Hallie cho biết thông báo đề cập đến vụ Cathedral truy cập hệ thống.

Jamieson O’Reilly chỉ trích việc thông báo vừa nói chưa rõ dữ liệu có thực sự bị xem hay không, vừa cho biết mức độ rủi ro không tăng. Đây là quan điểm cá nhân của nhà nghiên cứu bảo mật.

Các chỉ số sử dụng và chi tiêu được nêu trong thông báo liên quan đến việc dùng Claude. Nội dung được công bố không đưa ra mối liên hệ trực tiếp nào với token tiền mã hóa.