Microsoft avvia una causa contro un gruppo per abuso del suo servizio

Microsoft ha avviato una causa contro un gruppo che, secondo l'azienda, stava abusando del suo servizio di intelligenza artificiale (AI). Secondo Microsoft, il gruppo anonimo ha sviluppato strumenti che ha utilizzato per aggirare le barriere di sicurezza dei suoi prodotti AI. L'atto di citazione depositato affermava che il gruppo, composto da 10 individui anonimi, avrebbe rubato le credenziali degli utenti.

Microsoft ha affermato che gli imputati hanno utilizzato le credenziali degli utenti rubate e un software progettato per lo scopo è stato utilizzato per violare il suo servizio Azure OpenAI. Microsoft è responsabile della gestione del servizio cloud, creato dalla società madre di OpenAI ChatGPT. Le persone in questione hanno violato diverse leggi, una delle quali ha reso necessario l'atto di citazione in giudizio, secondo quanto allegato da Microsoft.

Microsoft presenta una denuncia per abuso dei suoi servizi

Nella sua denuncia, Microsoft ha evidenziato che gli imputati, che definisce con lo pseudonimo legale 'Does', hanno violato il Computer Fraud and Abuse Act, una legge ai sensi del Digital Millennium Copyright Act. L'azienda ha inoltre sostenuto che gli individui hanno violato una legge federale sul racketeering accedendo illegalmente e utilizzando il suo software e i suoi server per creare contenuti dannosi e illegali.

Tuttavia, Microsoft ha rifiutato di entrare nei dettagli dei contenuti che affermava essere dannosi e illegali. L'azienda ha evidenziato nella sua denuncia di aver scoperto nel luglio 2024 che alcuni utenti con API Keys di Azure OpenAI, una stringa di caratteri utilizzata per approvare un'app o un utente, venivano utilizzati illegalmente per generare contenuti non in linea con la politica di utilizzo accettabile dell'azienda.

Secondo l'atto di citazione, Microsoft ha scoperto che gli utenti hanno avuto contatti con le API Keys illegalmente attraverso alcuni utenti. Nella sua dichiarazione, Microsoft ha affermato che il modo in cui hanno ottenuto le chiavi rimane sconosciuto, ma crede fermamente che gli imputati abbiano rubato le chiavi. "Il modo preciso in cui gli Imputati hanno ottenuto tutte le API Keys utilizzate per commettere le condotte illecite descritte in questa Denuncia è sconosciuto, ma sembra che gli Imputati abbiano intrapreso un modello sistematico di furto di API Keys che ha loro consentito di rubare le API Keys di Microsoft da diversi clienti di Microsoft", recitava la dichiarazione.

Verdetto legale e soluzioni future

Secondo Microsoft, gli imputati hanno preso di mira in particolare gli utenti degli Stati Uniti, con l'azienda che afferma che il gruppo ha utilizzato le chiavi API rubate di Azure OpenAI Service per creare un piano che ha definito 'hacking-as-a-service'. La denuncia menzionava che gli imputati hanno creato uno strumento chiamato De3u, che funziona lato client. Hanno anche creato un altro software che elaborava e instradava la comunicazione da De3u ai sistemi dell'azienda.

L'azienda ha notato che De3u ha sfruttato le credenziali API rubate per consentire agli utenti di generare immagini utilizzando DALL-E, uno dei servizi OpenAI aperti agli utenti. Tuttavia, la particolarità è che possono farlo senza scrivere il proprio codice. L'atto di citazione ha anche sostenuto che De3u ha cercato di impedire al servizio Azure OpenAI di revisionare i prompt utilizzati per creare le immagini. La denuncia menzionava che questo accade solo nel caso in cui un prompt contenga parole che attivano il sistema di filtraggio dei contenuti sulla sua piattaforma.

Un repository contenente il codice De3u, notato su GitHub di proprietà di Microsoft, era stato rimosso al momento della scrittura. Microsoft ha notato che la combinazione delle chiavi API rubate di Azure OpenAI Service e degli strumenti ha consentito agli imputati di eludere le sue misure di contenuto. "Queste funzionalità, combinate con l'accesso API programmatico illegale degli Imputati al servizio Azure OpenAI, hanno consentito agli Imputati di reverse ingegnerizzare i mezzi per eludere le misure di contenuto e abuso di Microsoft", ha dichiarato l'azienda.

Nel frattempo, l'azienda, in un recente post sul blog, ha menzionato che il tribunale ha approvato la sua richiesta di sequestrare un sito web integrante delle operazioni degli imputati. Microsoft utilizzerà l'opportunità per raccogliere prove e capire come il servizio viene monetizzato al fine di rimuovere qualsiasi infrastruttura tecnica ancora presente. L'azienda ha dichiarato di aver messo in atto misure per colmare la falla, notando nuove misure di sicurezza per il servizio Azure OpenAI. L'azienda sta inoltre cercando ingiunzioni e altri rimedi equitativi e danni.