Gitee Repozitoriyalarında Kütləvi Təhlükə: 26.400 Aktiv Bulud və AI Etimadnaməsi Ekspozisiyası

Gitee Repozitoriyalarında Kütləvi Təhlükə: 26.400 Aktiv Bulud və AI Etimadnaməsi Ekspozisiyası

Çinin aparıcı kod hostinq xidməti olan Gitee-də aparılan təhlükəsizlik yoxlamaları nəticəsində tərtibatçılar tərəfindən açıq kod repozitoriyalarında buraxılan 26.400-dən çox aktiv bulud və süni intellekt (AI) xidməti etimadnaməsi aşkarlanıb. Bu məlumatlar müstəqil tədqiqatçı Ben Zimmermann tərəfindən aşkar edilib və sınaqdan keçirilərkən hələ də işlək vəziyyətdə olduğu təsdiqlənib, bu da potensial icazəsiz giriş üçün geniş imkanlar yaradır.

Tədqiqatın Detalları

Müstəqil tədqiqatçı Ben Zimmermann oktyabrın 28-də elan etdiyi hesabatında, 7.25 milyon açıq Gitee repozitoriyasını skan etməklə bu kütləvi etimadnamə ekspozisiyasını üzə çıxardığını bildirib. Onun tapıntıları göstərir ki, tapılan etimadnamələrin böyük əksəriyyəti bulud xidmətləri və AI platformaları üçün nəzərdə tutulmuş açarlardır. Bu etimadnamələr hər hansı bir şəxsin açıq koddan kopyalayaraq istifadə edə biləcəyi şəkildə mövcud idi.

Potensial Təhlükələr və Risk Ssenariləri

Bu etimadnamələrin açıq şəkildə mövcud olması bir sıra ciddi təhlükəsizlik riskləri daşıyır. Təhlükəsizlik pozuntusuna səbəb ola biləcək bu məlumatlar, zərərli aktyorlara hədəflənmiş bulud infrastrukturlarına və AI sistemlərinə icazəsiz daxil olmaq imkanı verə bilər. Nəticədə, məlumat oğurluğu, sistemlərin dəyişdirilməsi, xidmətlərin pozulması və hətta daha geniş kiberhücumların həyata keçirilməsi üçün zəmin yarana bilər.

Xüsusilə, AI xidmətləri üçün buraxılan açarlar, intellektual mülkiyyətin komprometasiyası, model oğurluğu və ya AI-də idarə olunan sistemlərə zərərli müdaxilələr üçün istifadə oluna bilər.

Tərtibatçılar üçün Dərslər və Qabaqlayıcı Tədbirlər

Bu hadisə, tərtibatçılara həssas məlumatları, xüsusilə API açarlarını və etimadnamələrini kod repozitoriyalarında, xüsusən də ictimai olanlarda saxlamamağın vacibliyini bir daha xatırladır. Etimadnamələrin idarə edilməsi üçün ətraf mühit dəyişənləri, sirr idarəetmə sistemləri (məsələn, HashiCorp Vault, AWS Secrets Manager) və ya digər təhlükəsiz üsullardan istifadə edilməlidir.

Həmçinin, kod bazalarının mütəmadi təhlükəsizlik yoxlamaları və avtomatlaşdırılmış skanların aparılması bu cür boşluqların erkən aşkarlanmasına kömək edə bilər. Tərtibatçılar, repozitoriyaları açıq elan etməzdən əvvəl həssas məlumatların mövcudluğunu yoxlamağa xüsusi diqqət yetirməlidirlər.

Nəticə

Gitee-də aşkar edilən bu kütləvi etimadnamə ekspozisiyası, bulud və AI texnologiyalarının geniş tətbiqi ilə artan təhlükəsizlik problemlərinin bariz nümunəsidir. Şirkətlər və tərtibatçılar, kiberhücumların qarşısını almaq üçün proaktiv təhlükəsizlik tədbirləri görməyə və ən yaxşı təcrübələri tətbiq etməyə davam etməlidirlər.