Recentemente, uma pesquisa conduzida pelo pesquisador Naphtali Deutsch chamou a atenção para uma vulnerabilidade significativa. Através de varreduras na internet, ele descobriu que centenas de servidores de construção de modelos de linguagem grandes (LLMs) de código aberto e dezenas de bancos de dados vetoriais estavam vazando informações sensíveis em larga escala. Essas violações de segurança resultam da pressa de muitas empresas em integrar a inteligência artificial (IA) em seus fluxos de trabalho, muitas vezes negligenciando os aspectos de segurança das ferramentas utilizadas.
Nota da imagem: Imagem gerada por IA, fornecida pelo Midjourney.
Flowise é uma ferramenta de baixo código que permite aos usuários criar diversos aplicativos LLM, desde chatbots até ferramentas de geração e extração de dados. Embora a maioria dos servidores Flowise seja protegida por senha, essa proteção por si só não garante a segurança.
Deutsch mencionou que, ainda este ano, pesquisadores descobriram uma falha de bypass de autenticação no Flowise. Basta colocar algumas letras maiúsculas nos endpoints da API do programa para explorar essa vulnerabilidade. Aproveitando-se dessa falha, Deutsch conseguiu invadir 438 servidores Flowise, encontrando dados sensíveis armazenados, como tokens de acesso ao GitHub, chaves de API OpenAI, senhas e chaves de API Flowise, além de configurações e prompts relacionados aos aplicativos Flowise.
Além do Flowise, Deutsch descobriu cerca de 30 bancos de dados vetoriais sem qualquer verificação de autenticação. Esses bancos de dados continham informações claramente sensíveis, incluindo e-mails privados de uma empresa de serviços de engenharia, documentos de uma empresa de moda, informações pessoais e dados financeiros de clientes de uma empresa de equipamentos industriais. Os bancos de dados vetoriais representam um risco ainda maior, pois os hackers podem não apenas roubar dados, mas também excluí-los, danificá-los ou até mesmo implantar malware, afetando os usuários ao utilizarem as ferramentas de IA.
Para mitigar esses riscos, Deutsch recomenda que as empresas limitem o acesso aos serviços de IA que utilizam, monitorem e registrem as atividades relacionadas a esses serviços, protejam os dados sensíveis transmitidos pelos aplicativos LLM e apliquem atualizações de software sempre que possível.
Ele destaca que, com a crescente popularização dessas ferramentas, muitos desenvolvedores não possuem conhecimento suficiente em segurança para configurá-las adequadamente, fazendo com que a segurança frequentemente fique atrás do desenvolvimento tecnológico.
Pontos importantes:
1. 🔒 Centenas de LLMs e bancos de dados vetoriais vazando informações sensíveis; situação de segurança preocupante para as empresas.
2. 💻 Ferramenta Flowise apresenta vulnerabilidade de bypass de autenticação, explorada por hackers para invadir múltiplos servidores.
3. 🛡️ Especialistas recomendam que as empresas fortaleçam o controle de acesso aos serviços de IA, monitorando e atualizando regularmente as medidas de segurança.
