該服務(wù)使用未公開的應(yīng)用程序編程接口（API）及其他手段繞過安全防護(hù)措施。
微軟指控三名個(gè)人運(yùn)營一個(gè) “黑客即服務(wù)” 計(jì)劃，該計(jì)劃旨在利用微軟的人工智能生成內(nèi)容平臺(tái)創(chuàng)建有害及非法內(nèi)容。
微軟數(shù)字犯罪部門助理總法律顧問史蒂文?馬薩達(dá)表示，這些來自國外的被告開發(fā)了專門用于繞過微軟所設(shè)安全防護(hù)措施的工具，這些防護(hù)措施旨在防止通過其生成式人工智能服務(wù)創(chuàng)建有害內(nèi)容。隨后，他們?nèi)肭至烁顿M(fèi)客戶的合法賬戶。他們將這兩者結(jié)合，打造出一個(gè)可供人們使用的收費(fèi)平臺(tái)。
一個(gè)復(fù)雜的計(jì)劃
微軟還起訴了七名個(gè)人，稱他們是該服務(wù)的客戶。由于微軟不知道這 10 名被告的真實(shí)身份，因此均以 “約翰?多伊” 指代。
律師們?cè)谔峤唤o弗吉尼亞東區(qū)聯(lián)邦法院的一份訴狀中寫道：“通過此次行動(dòng)，微軟試圖破壞由網(wǎng)絡(luò)犯罪分子實(shí)施的一個(gè)復(fù)雜計(jì)劃，這些犯罪分子開發(fā)了專門用于繞過微軟及其他公司提供的生成式人工智能服務(wù)安全防護(hù)措施的工具?！?該訴狀于周五解封。
據(jù)稱，運(yùn)營該服務(wù)的三人入侵了微軟合法客戶的賬戶，并通過現(xiàn)已關(guān)閉的 “rentry [.] org/de3u” 網(wǎng)站出售這些賬戶的訪問權(quán)限。該服務(wù)從去年 7 月運(yùn)營至 9 月，后被微軟采取行動(dòng)關(guān)停，其中包含 “如何使用這些定制工具生成有害及非法內(nèi)容的詳細(xì)說明”。
訴訟稱，該服務(wù)設(shè)有一個(gè)代理服務(wù)器，用于在其客戶與提供微軟人工智能服務(wù)的服務(wù)器之間轉(zhuǎn)發(fā)流量。該代理服務(wù)除其他手段外，還使用了未公開的微軟網(wǎng)絡(luò)應(yīng)用程序編程接口與該公司的 Azure 計(jì)算機(jī)進(jìn)行通信。由此產(chǎn)生的請(qǐng)求旨在模仿合法的 Azure OpenAPI 服務(wù) API 請(qǐng)求，并使用被盜用的 API 密鑰進(jìn)行身份驗(yàn)證。
微軟律師附上了以下圖片，第一張展示了網(wǎng)絡(luò)基礎(chǔ)設(shè)施，第二張展示了提供給被告服務(wù)用戶的用戶界面：
微軟未說明合法客戶賬戶是如何被入侵的，但表示已知黑客會(huì)創(chuàng)建工具，在代碼存儲(chǔ)庫中搜索開發(fā)者在創(chuàng)建的應(yīng)用程序中無意包含的 API 密鑰。微軟及其他公司長期以來一直建議開發(fā)者從發(fā)布的代碼中刪除憑證及其他敏感數(shù)據(jù)，但這一做法常被忽視。該公司還提出，這些憑證有可能是被未經(jīng)授權(quán)訪問其存儲(chǔ)網(wǎng)絡(luò)的人竊取的。
微軟及其他公司禁止使用其生成式人工智能系統(tǒng)創(chuàng)建各類內(nèi)容。禁止的內(nèi)容包括展示或宣揚(yáng)性剝削、性虐待，色情低俗的材料，或基于種族、民族、國籍、性別、性別認(rèn)同、性取向、宗教、年齡、殘疾狀況或類似特征攻擊、詆毀、排斥他人的內(nèi)容。它也不允許創(chuàng)建包含威脅、恐嚇、宣揚(yáng)身體傷害或其他辱罵性行為的內(nèi)容。
除明確禁止此類平臺(tái)使用方式外，微軟還開發(fā)了防護(hù)措施，對(duì)用戶輸入的提示詞以及生成的輸出內(nèi)容進(jìn)行檢查，查看所請(qǐng)求的內(nèi)容是否違反任何這些規(guī)定。近年來，通過黑客手段，這些基于代碼的限制屢屢被繞過，其中一些是研究人員實(shí)施的無害行為，另一些則是惡意威脅行為者所為。
微軟并未詳細(xì)說明被告的軟件據(jù)稱是如何設(shè)計(jì)以繞過該公司所創(chuàng)建的防護(hù)措施的。
馬薩達(dá)寫道：
微軟的人工智能服務(wù)部署了強(qiáng)大的安全措施，包括在人工智能模型、平臺(tái)和應(yīng)用程序?qū)用娴膬?nèi)置安全緩解措施。正如我們今天解封的法庭文件中所指控的，微軟發(fā)現(xiàn)一個(gè)來自國外的威脅行為者組織開發(fā)了復(fù)雜的軟件，利用從公共網(wǎng)站上獲取的暴露的客戶憑證。他們?cè)噲D借此識(shí)別并非法訪問某些生成式人工智能服務(wù)的賬戶，并有目的地改變這些服務(wù)的功能。網(wǎng)絡(luò)犯罪分子隨后使用這些服務(wù)，并將訪問權(quán)限轉(zhuǎn)售給其他惡意行為者，同時(shí)提供如何使用這些定制工具生成有害及非法內(nèi)容的詳細(xì)說明。發(fā)現(xiàn)這一情況后，微軟撤銷了網(wǎng)絡(luò)犯罪分子的訪問權(quán)限，采取了應(yīng)對(duì)措施，并加強(qiáng)了安全防護(hù)，以進(jìn)一步阻止未來此類惡意活動(dòng)。
該訴訟指控被告的服務(wù)違反了《計(jì)算機(jī)欺詐和濫用法案》《數(shù)字千年版權(quán)法案》《蘭哈姆法案》以及《反有組織犯罪及腐敗組織法案》，構(gòu)成電信欺詐、訪問設(shè)備欺詐、普通法中的非法侵入和侵權(quán)干擾。訴狀請(qǐng)求發(fā)布禁令，禁止被告從事 “本文所述的任何活動(dòng)”。
黑客聯(lián)盟】帶你走進(jìn)神秘的黑客世界
熱門跟貼