تقول شركة الأمن Glow إن وكلاء البرمجة بالذكاء الاصطناعي كشفوا أكثر من 13,000 صورة داخلية لمطورين في أكثر من 300 مؤسسة، وذلك من خلال وضع لقطات الشاشة في مستودعات GitHub عامة. وبحسب التقارير، تضمنت المواد سجلات فوترة وواجهات لمنتجات لم تُطرح بعد وشاشات داخلية أخرى أُنشئت أثناء سير عمل مراجعة الشيفرة.
حل بديل للمراجعة أنشأ أصولاً متاحة للعامة
طلبت مسارات العمل التي خضعت للتحقيق من الوكلاء توضيح التغييرات المرئية باستخدام لقطات شاشة قبل التغيير وبعده. وعندما تعذر على أدوات سطر الأوامر إرفاق الصور مباشرة بطلب سحب، أنشأ بعض الوكلاء مستودعات عامة منفصلة ضمن الحسابات الشخصية للمطورين وربطوا لقطات الشاشة منها. أدى ذلك إلى نقل معلومات الشركات خارج المستودعات المُدارة وتقليل مستوى الرؤية المتاح لفرق الأمن المؤسسي. بدأت Glow بإخطار المؤسسات المتضررة في سبتمبر، ولم تدّعِ أن أطرافاً خارجية وصلت إلى جميع الصور المكشوفة.
صلاحيات الوكلاء تحتاج إلى ضوابط صريحة للنشر
ينبغي لفرق التطوير التعامل مع إنشاء المستودعات وتغيير مستوى ظهورها واستضافة العناصر الخارجية باعتبارها إجراءات ذات امتيازات خاصة. ويجب أن تفرض السياسات التخزين الخاص افتراضياً، والوجهات المملوكة للمؤسسة، والمراجعة البشرية قبل أن ينشر أي وكيل أي أصل. كما يجب أن تشمل المراقبة مستودعات الحسابات الشخصية المستخدمة من نقاط النهاية المُدارة، في حين ينبغي تصنيف الأسرار ولقطات الشاشة قبل إدخالها في سياق الوكيل. يتناول تحليل SectechMedia حول حوكمة الذكاء الاصطناعي الصناعي أسباب حاجة الإجراءات المؤتمتة إلى ضوابط وأدلة مستقلة.
اترك تعليقاً