Microsoft ha emprendido acciones legales contra un grupo que, según la compañía, desarrolló y utilizó intencionalmente herramientas para eludir las barreras de seguridad de sus productos de inteligencia synthetic en la nube.
De acuerdo a una denuncia presentada por la empresa En diciembre, en el Tribunal de Distrito de EE. UU. para el Distrito Este de Virginia, un grupo de 10 acusados anónimos supuestamente utilizaron credenciales de clientes robadas y software program diseñado a medida para ingresar al servicio Azure OpenAI, el servicio totalmente administrado de Microsoft impulsado por las tecnologías del fabricante OpenAI de ChatGPT.
En la demanda, Microsoft acusa a los demandados (a quienes se refiere únicamente como “Does”, un seudónimo authorized) de violar la Ley de Abuso y Fraude Informático, la Ley de Derechos de Autor del Milenio Digital y una ley federal contra el crimen organizado al acceder y utilizar ilícitamente el software program de Microsoft. y servidores con el fin de “crear contenido ofensivo” y “dañino e ilícito”. Microsoft no proporcionó detalles específicos sobre el contenido abusivo que se generó.
La empresa busca medidas cautelares y “otras medidas equitativas” y daños y perjuicios.
En la denuncia, Microsoft cube que descubrió en julio de 2024 que los clientes con credenciales del servicio Azure OpenAI (específicamente claves API, las cadenas únicas de caracteres utilizadas para autenticar una aplicación o un usuario) estaban siendo utilizados para generar contenido que viola la política de uso aceptable del servicio. Posteriormente, a través de una investigación, Microsoft descubrió que las claves API habían sido robadas a clientes que pagaban, según la denuncia.
“Se desconoce la forma precisa en que los demandados obtuvieron todas las claves API utilizadas para llevar a cabo la mala conducta descrita en esta demanda”, se lee en la demanda de Microsoft, “pero parece que los demandados han participado en un patrón de robo sistemático de claves API que les permitió para robar claves API de Microsoft de varios clientes de Microsoft”.
Microsoft alega que los demandados utilizaron claves API del servicio Azure OpenAI robadas pertenecientes a clientes con sede en EE. UU. para crear un esquema de “piratería como servicio”. Según la demanda, para llevar a cabo este plan, los acusados crearon una herramienta del lado del cliente llamada de3u, así como un software program para procesar y enrutar las comunicaciones desde de3u a los sistemas de Microsoft.
De3u permitió a los usuarios aprovechar claves API robadas para generar imágenes utilizando DALL-E, uno de los modelos OpenAI disponibles para los clientes del servicio Azure OpenAI, sin tener que escribir su propio código, alega Microsoft. De3u también intentó evitar que el servicio Azure OpenAI revisara los mensajes utilizados para generar imágenes, según la denuncia, lo que puede suceder, por ejemplo, cuando un mensaje de texto contiene palabras que activan el filtrado de contenido de Microsoft.
Un repositorio que contiene el código del proyecto de3u, alojado en GitHub, una empresa propiedad de Microsoft, ya no está disponible al momento de escribir este artículo.
“Estas características, combinadas con el acceso API programático ilegal de los demandados al servicio Azure OpenAI, les permitieron realizar ingeniería inversa en medios para eludir el contenido y las medidas de abuso de Microsoft”, se lee en la demanda. “Los demandados accedieron a sabiendas e intencionalmente a las computadoras protegidas del servicio Azure OpenAl sin autorización y, como resultado de dicha conducta, causaron daños y pérdidas”.
en un publicación de blog Publicado el viernes, Microsoft cube que el tribunal le ha autorizado a confiscar un sitio internet “elementary” para la operación de los acusados que permitirá a la empresa reunir pruebas, descifrar cómo se monetizan los supuestos servicios de los acusados e interrumpir cualquier infraestructura técnica adicional que encuentre. .
Microsoft también cube que ha “implementado contramedidas”, que la compañía no especificó, y “agregó mitigaciones de seguridad adicionales” al servicio Azure OpenAI dirigidas a la actividad que observó.
