Microsoft inicia demanda contra un grupo por abusar de su servicio

Microsoft ha iniciado una demanda contra un grupo que la empresa afirmó estaba abusando de su servicio de inteligencia artificial (IA). Según Microsoft, el grupo sin nombre desarrolló herramientas que utilizó para eludir las barreras de seguridad de sus productos de IA. La queja presentada declaró que el grupo, compuesto por 10 individuos sin nombre, supuestamente robó credenciales de usuario.

Microsoft afirmó que los acusados utilizaron las credenciales de usuario robadas y un software diseñado para ese propósito se utilizó para vulnerar su servicio Azure OpenAI. Microsoft se encarga de gestionar el servicio en la nube, que fue creado por la empresa matriz de OpenAI ChatGPT. Los dichos individuos violaron varias leyes, una de las cuales requirió la presentación de la demanda, alega Microsoft.

Microsoft presenta una queja sobre un abuso de sus servicios

En su queja, Microsoft destacó que los acusados, a los que se refiere bajo el seudónimo legal 'Does', violaron la Ley de Fraude Informático y Abuso, una ley bajo la Ley de Derechos de Autor de Milenio Digital. La empresa también alegó que los individuos violaron una ley federal de racketeering al acceder y utilizar ilegalmente su software y servidores para crear contenido dañino e ilegal.

Sin embargo, Microsoft se ha negado a entrar en los detalles del contenido que afirmó era dañino e ilegal. La empresa destacó en su queja que descubrió en julio de 2024 que algunos usuarios con Claves API de Azure OpenAI, una cadena de caracteres que se utiliza para aprobar una aplicación o usuario, estaban siendo utilizados ilegalmente para generar contenido que no estaba en línea con la política de uso aceptable de la empresa.

Según la presentación, Microsoft descubrió que los usuarios entraron en contacto con las Claves API ilegalmente a través de algunos usuarios. En su declaración, Microsoft afirmó que la forma en que obtuvieron las claves permanece desconocida, pero cree firmemente que los acusados robaron las claves. "La manera precisa en que los Demandados obtuvieron todas las Claves API utilizadas para llevar a cabo la mala conducta descrita en esta Queja es desconocida, pero parece que los Demandados han participado en un patrón de robo sistemático de Claves API que les permitió robar Claves API de Microsoft de múltiples clientes de Microsoft", se lee en la declaración.

Veredicto legal y soluciones futuras

Según Microsoft, los acusados apuntaron particularmente a usuarios de Estados Unidos, con la empresa afirmando que el grupo utilizó las claves API robadas de Azure OpenAI Service para crear un esquema que llamó 'hacking-como-servicio'. La queja mencionó que los acusados crearon una herramienta llamada De3u, que funciona en el lado del cliente. También crearon otro software que procesaba y enrutaba la comunicación de De3u a los sistemas de la empresa.

La firma señaló que De3u aprovechó las credenciales API robadas para permitir a los usuarios generar imágenes utilizando DALL-E, uno de los OpenAI servicios abiertos a los usuarios. Sin embargo, la novedad es que pueden hacerlo sin escribir su propio código. La presentación también alegó que De3u también intentó evitar que el Servicio Azure OpenAI revisara los prompts utilizados para crear imágenes. La queja mencionó que esto solo ocurre en un caso donde un prompt contiene palabras que activan el sistema de filtrado de contenido en su plataforma.

Un repositorio que contenía el código De3u, que se había notado en GitHub propiedad de Microsoft, había sido eliminado en el momento de la escritura. Microsoft señaló que la combinación de las claves API robadas del Servicio Azure OpenAI y las herramientas permitió a los acusados eludir sus medidas de contenido. "Estas características, combinadas con el acceso API programático ilegal de los Demandados al servicio Azure OpenAI, permitieron a los Demandados ingeniería inversa de medios para eludir las medidas de contenido y abuso de Microsoft", dijo la empresa.

Mientras tanto, la empresa, en un reciente post de blog, ha mencionado que el tribunal ha aprobado su solicitud para confiscar un sitio web integral para las operaciones de los acusados. Microsoft utilizará la oportunidad para recopilar evidencia y descubrir cómo se monetiza el servicio con el fin de eliminar cualquier infraestructura técnica que aún quede. La firma dijo que ha puesto en marcha medidas para tapar la brecha, señalando nuevas medidas de seguridad para el Servicio Azure OpenAI. La empresa también busca medidas cautelares y otros recursos equitativos y daños.