Microsoft intente une action en justice contre un groupe pour abus de son service

Microsoft a engagé une action en justice contre un groupe qu'elle accuse d'abuser de son service d'intelligence artificielle (IA). Selon Microsoft, ce groupe non identifié a développé des outils lui permettant de contourner les garde-fous de sécurité de ses produits IA. Le recours déposé indique que le groupe, composé de 10 personnes non identifiées, aurait volé des identifiants utilisateurs.

Microsoft a affirmé que les défendeurs ont utilisé des identifiants d'utilisateur volés et un logiciel conçu à cette fin pour compromettre son service Azure OpenAI. Microsoft est chargé de gérer le service cloud, créé par la société mère d'OpenAI, ChatGPT. Lesdites personnes ont enfreint plusieurs lois, dont l'une a nécessité le dépôt du recours, selon Microsoft.

Microsoft dépose une plainte pour abus de ses services

Dans sa plainte, Microsoft souligne que les défendeurs, désignés sous le nom juridique fictif « Does », ont violé la Computer Fraud and Abuse Act, une loi relevant du Digital Millennium Copyright Act. L'entreprise allègue également que ces individus ont enfreint une loi fédérale sur le racket en accédant et en utilisant illégalement ses logiciels et serveurs pour créer du contenu nuisible et illégal.

Cependant, Microsoft a refusé de s'engager dans les détails du contenu qu'elle affirmait être nuisible et illégal. La société a souligné dans sa plainte qu'elle avait découvert en juillet 2024 que certaines clés API Azure OpenAI, une chaîne de caractères utilisée pour approuver une application ou un utilisateur, étaient utilisées illégalement pour générer du contenu non conforme à la politique d'utilisation acceptable de l'entreprise.

Selon le dossier, Microsoft a découvert que les utilisateurs avaient accédé illégalement aux clés API via certains utilisateurs. Dans sa déclaration, Microsoft a indiqué que la manière dont ils ont obtenu les clés reste inconnue, mais qu'elle croit fermement que les défendeurs ont volé les clés. « La manière précise dont les défendeurs ont obtenu toutes les clés API utilisées pour commettre les actes répréhensibles décrits dans la présente plainte est inconnue, mais il semble que les défendeurs se soient livrés à une série systématique de vols de clés API leur permettant de dérober des clés API Microsoft auprès de multiples clients de Microsoft », indique la déclaration.

Verdict juridique et solutions futures

Selon Microsoft, les défendeurs ont particulièrement ciblé les utilisateurs des États-Unis, la société affirmant que le groupe a utilisé les clés d'API du service Azure OpenAI volées pour mettre en place un schéma qu'il a qualifié de « piratage en tant que service ». La plainte mentionne que les défendeurs ont créé un outil appelé De3u, qui fonctionne côté client. Ils ont également développé un autre logiciel qui traite et achemine les communications de De3u vers les systèmes de l'entreprise.

La firme a noté que De3u exploitait les identifiants d'API volés pour permettre aux utilisateurs de générer des images via DALL-E, l'un des services OpenAI ouverts aux utilisateurs. Cependant, la particularité est qu'ils peuvent le faire sans écrire leur propre code. Le dépôt allègue également que De3u a tenté d'empêcher le service Azure OpenAI d'examiner les invites utilisées pour créer des images. La plainte précise que cela ne se produit que dans le cas où une invite contient des mots déclenchant le système de filtrage de contenu de sa plateforme.

Un dépôt contenant le code De3u, signalé sur GitHub appartenant à Microsoft, avait été supprimé au moment de la rédaction. Microsoft a noté que la combinaison des clés API volées du service Azure OpenAI et des outils permettait aux défendeurs de contourner ses mesures de contenu. « Ces fonctionnalités, combinées à l'accès programmatique illégal des défendeurs au service Azure OpenAI, ont permis aux défendeurs de rétroconcevoir des moyens de contourner les mesures de contenu et de prévention des abus de Microsoft », a déclaré la société.

Pendant ce temps, l'entreprise a mentionné, dans un récent article de blog, que le tribunal a approuvé sa demande de saisie d'un site web essentiel aux opérations des défendeurs. Microsoft profitera de cette occasion pour recueillir des preuves et comprendre comment le service est monétisé afin de supprimer toute infrastructure technique restante. L'entreprise a indiqué avoir mis en place des mesures pour combler la faille, soulignant de nouvelles mesures de sécurité pour le service Azure OpenAI. La société cherche également des injonctions et d'autres recours équitables ainsi que des dommages-intérêts.