Des chercheurs en IA de Microsoft ont accidentellement exposé des téraoctets de données internes sensibles.

Les chercheurs en IA de Microsoft ont accidentellement exposé des dizaines de téraoctets de données sensibles, y compris des clés privées et des mots de passe, lors de la publication d’un bucket de stockage de données d’entraînement open source sur GitHub. Dans une recherche partagée avec TechCrunch, le fournisseur de services de sécurité cloud Wiz a déclaré avoir découvert un dépôt GitHub appartenant à la division de recherche en IA de Microsoft dans le cadre de son travail en cours sur l’exposition accidentelle de données hébergées dans le cloud. Les lecteurs du dépôt GitHub, qui fournissait du code open source et des modèles IA pour la reconnaissance d’images, étaient invités à télécharger les modèles à partir d’une URL Azure Storage. Cependant, Wiz a constaté que cette URL était configurée pour accorder des autorisations sur l’ensemble du compte de stockage, ce qui a exposé accidentellement d’autres données privées. Ces données comprenaient 38 téraoctets d’informations sensibles, notamment les sauvegardes personnelles de deux ordinateurs personnels de employés de Microsoft. Les données contenaient également d’autres données personnelles sensibles, y compris des mots de passe pour les services Microsoft, des clés secrètes et plus de 30 000 messages internes Microsoft Teams de centaines d’employés de Microsoft. Selon Wiz, l’URL, qui avait exposé ces données depuis 2020, était également mal configurée pour autoriser les autorisations «full control» plutôt que «read-only», ce qui signifiait que toute personne sachant où regarder pouvait potentiellement supprimer, remplacer et injecter du contenu malveillant dans ceux-ci.