Microsoft leitet Klage gegen eine Gruppe wegen Missbrauchs seines Dienstes ein

Microsoft hat eine Klage gegen eine Gruppe eingereicht, die nach Angaben des Unternehmens seinen künstlichen Intelligenz (KI)-Dienst missbraucht hat. Laut Microsoft entwickelte die namenlose Gruppe Tools, die sie nutzte, um die Sicherheitsvorkehrungen seiner KI-Produkte zu umgehen. Die eingereichte Beschwerde besagte, dass die Gruppe, die aus 10 namenlosen Personen bestand, angeblich Benutzeranmeldeinformationen gestohlen hat.

Microsoft behauptete, dass die Angeklagten die gestohlenen Benutzeranmeldeinformationen verwendet und eine dafür entwickelte Software genutzt haben, um seinen Azure OpenAI-Dienst zu kompromittieren. Microsoft ist für die Verwaltung des Cloud-Dienstes verantwortlich, der von OpenAIs Muttergesellschaft ChatGPT erstellt wurde. Die genannten Personen haben mehrere Gesetze gebrochen, eines davon erforderte die Einreichung der Klage, so Microsoft.

Microsoft reicht Beschwerde wegen Missbrauchs seiner Dienste ein

In seiner Beschwerde hob Microsoft hervor, dass die Angeklagten, die es unter dem juristischen Pseudonym „Does“ bezeichnet, den Computer Fraud and Abuse Act sowie ein Gesetz unter dem Digital Millennium Copyright Act verletzt haben. Das Unternehmen behauptete auch, die Personen hätten ein föderales Racketeering-Gesetz gebrochen, indem sie illegal auf seine Software und Server zugegriffen und diese genutzt haben, um schädliche und illegale Inhalte zu erstellen.

Microsoft hat sich jedoch geweigert, auf die Details der Inhalte einzugehen, die es als schädlich und illegal bezeichnete. Das Unternehmen hob in seiner Beschwerde hervor, dass es im Juli 2024 entdeckte, dass einige Benutzer mit Azure OpenAI API Keys, einer Zeichenkette, die zur Genehmigung einer App oder eines Benutzers verwendet wird, illegal genutzt wurden, um Inhalte zu generieren, die nicht mit der akzeptablen Nutzungsrichtlinie des Unternehmens übereinstimmten.

Laut der Einreichung entdeckte Microsoft, dass die Benutzer illegal über einige Benutzer mit den API-Schlüsseln in Kontakt traten. In seiner Erklärung behauptete Microsoft, der Weg, auf dem sie die Schlüssel erlangten, sei unbekannt, aber es sei stark der Überzeugung, dass die Angeklagten die Schlüssel gestohlen hätten. „Die genaue Art und Weise, wie die Angeklagten alle zur Durchführung des in dieser Beschwerde beschriebenen Fehlverhaltens verwendeten API-Schlüssel erlangt haben, ist unbekannt, aber es scheint, dass die Angeklagten ein Muster systematischer API-Schlüssel-Diebstähle betrieben haben, das es ihnen ermöglichte, Microsoft-API-Schlüssel von mehreren Microsoft-Kunden zu stehlen“, hieß es in der Erklärung.

Rechtliches Urteil und zukünftige Lösungen

Laut Microsoft zielten die Angeklagten insbesondere auf Benutzer in den Vereinigten Staaten ab, wobei das Unternehmen behauptete, die Gruppe habe die gestohlenen Azure OpenAI-Service-API-Schlüssel verwendet, um ein Schema zu erstellen, das sie als „Hacking-as-a-Service“ bezeichnete. Die Beschwerde erwähnte, dass die Angeklagten ein Tool namens De3u erstellt haben, das auf der Client-Seite funktioniert. Sie erstellten auch eine weitere Software, die Kommunikation von De3u zu den Systemen des Unternehmens verarbeitete und weiterleitete.

Das Unternehmen stellte fest, dass De3u die gestohlenen API-Anmeldeinformationen nutzte, um Benutzern zu ermöglichen, Bilder mit DALL-E zu generieren, einem der OpenAI-Dienste, die für Benutzer zugänglich sind. Der Clou dabei ist jedoch, dass sie dies ohne das Schreiben eigenen Codes tun können. Die Einreichung behauptete auch, dass De3u versuchte, die Überprüfung von Prompts durch den Azure OpenAI Service zu verhindern, die zur Erstellung von Bildern verwendet werden. Die Beschwerde erwähnte, dass dies nur in Fällen geschieht, in denen ein Prompt Wörter enthält, die das Inhaltsfilterungssystem auf seiner Plattform auslösen.

Ein Repository mit dem De3u-Code, das auf dem von Microsoft gehosteten GitHub vermerkt war, war zum Zeitpunkt des Schreibens entfernt worden. Microsoft stellte fest, dass die Kombination der gestohlenen Azure OpenAI Service API-Schlüssel und der Tools es den Angeklagten ermöglichte, seine Inhaltsmaßnahmen zu umgehen. „Diese Funktionen, kombiniert mit dem unrechtmäßigen programmatischen API-Zugriff der Angeklagten auf den Azure OpenAI-Dienst, ermöglichten es den Angeklagten, Mittel zur Umgehung von Microsofts Inhalts- und Missbrauchsmaßnahmen zu reverse-engineeren“, sagte das Unternehmen.

Inzwischen hat das Unternehmen in einem kürzlichen Blogbeitrag erwähnt, dass das Gericht seinen Antrag auf Beschlagnahme einer Website genehmigt hat, die für die Operationen der Angeklagten von zentraler Bedeutung ist. Microsoft wird die Gelegenheit nutzen, Beweise zu sammeln und herauszufinden, wie der Dienst monetarisiert wird, um verbliebene technische Infrastrukturen zu entfernen. Das Unternehmen sagte, es habe Maßnahmen ergriffen, um die Lücke zu schließen, und wies auf neue Sicherheitsmaßnahmen für den Azure OpenAI Service hin. Das Unternehmen sucht auch nach einstweiligen Verfügungen und anderen billigen Rechtsbehelfen sowie Schadensersatz.