ג'מיני התבקש לפרוץ לחברות מדומות - ונכנס למערכות של שלוש חברות אמיתיות
מודל ממשפחת ג'מיני של גוגל נכנס למערכות מחשוב של שלוש חברות אמיתיות במהלך ניסויי אבטחה שנועדו להתבצע מול חברות מדומות. הניסויים, שנערכו במאי על ידי חברת אבטחת הסייבר הישראלית Irregular, התבצעו בסביבה שלא הייתה אמורה לאפשר גישה לאינטרנט, אך גישה זו התאפשרה בטעות, והמודל פעל מול מערכות מחוץ לניסוי.
גוגל אישרה את האירועים ומסרה כי בכל המקרים המודל הפסיק את פעילותו לאחר שהבין שהיעדים אינם חלק מהבדיקה. האירוע ממחיש את הסיכון הכרוך בחיבור מודלים לכלים המאפשרים להם לפעול. במקרה אחד, שם של חברה מדומה הוביל לחברה אמיתית בעלת שם זהה, והמודל ניחש נכונה פרטי כניסה וקיבל גישה. בשני המקרים האחרים, המודל השתמש בפרטי גישה שהיו זמינים ברשת, מתוך מחשבה שהאתרים שייכים לסביבת הבדיקה.
Irregular עדכנה את גוגל בסוף יולי. גוגל הודיעה כי החברות שנפגעו קיבלו הודעה ובוצעו שינויים בתהליכי הבדיקה. החברה לא פרסמה את האירועים בזמן אמת, בטענה שלא נגרם נזק והמודל עצר את פעולתו בעצמו. גוגל רואה בכך הוכחה שמנגנוני הבטיחות של המודל פעלו, אך מבחינת אבטחת המערכת, הבעיה היא שההבחנה שהיעד אינו מורשה הגיעה רק לאחר השגת הגישה.
האירוע מדגיש את הסיכון הגובר ככל שארגונים מעניקים לסוכנים אוטומטיים הרשאות נרחבות יותר. היכולת לבצע פעולות ברצף, שהיא יתרון עסקי, עלולה להרחיב את השפעתה של טעות אחת. ההשלכה המעשית היא שהוראה כתובה למודל אינה מספיקה; יש להגביל גם את האתרים אליהם הוא יכול להתחבר, את החשבונות בהם הוא משתמש ואת הפעולות שהוא רשאי לבצע, כדי לצמצם את טווח הפעולה שלו במקרה של טעות.
הפרט לפיו באחד המקרים המודל ניחש סיסמאות בהצלחה, מעלה כי בצד השני עמד שירות אמיתי שאפשר להיכנס אליו בקלות יחסית. בשני המקרים האחרים, פרטי הגישה היו זמינים ברשת. שלושת האירועים לא דרשו פריצה מתוחכמת, אלא פעולות ראשוניות שגם תוקף מנוסה היה מבצע. הדבר מרחיב את האחריות גם לארגונים שאינם מפעילים סוכנים אוטומטיים, שכן הם עלולים להיות יעד לפריצה כזו אם פרטי הגישה שלהם חלשים או חשופים.
The same event, reported separately by each outlet. Open a few to compare what different newsrooms emphasize — and what they leave out.
Not the same event — other stories that share this one’s people, places, or theme: background, reactions, and follow-ups.
