Dün, r/ChatGPT Discord kanalının moderatörleri, çalınan OpenAI API anahtarlarını yüzlerce başka kullanıcıyla özgürce paylaşan bir komut dosyası çocuğunu yasakladı.
API anahtarları, geliştiricilerin OpenAI teknolojilerini, özellikle de en son dil modeli olan GPT-4’ü kendi uygulamalarına entegre etmelerini sağlar. Ancak çoğu zaman, geliştiriciler anahtarlarını kodlarında unutarak hesap hırsızlığını yalnızca birkaç tıklamayla hallederler.
En azından Mart ayından bu yana, “Discodtehe” adlı bir kullanıcı, yazılım işbirliği platformu Replit’te yayınlanan kaynak kodundan API anahtarlarını kazıyor. Kişi, 800’den fazla üyeden oluşan bir topluluğun çalınan hesaplara kullanım ücretleri yüklemeye başladığı r/ChimeraGPT’deki ganimete ücretsiz erişimi paylaştı.
Takip etme Yardımcısı 7 Haziran’da rapor veriyor, Discodte artık Discord veya Reddit’te bulunamaz. Ancak uzmanlar, hikayenin bitmediğini vurguluyor: Açıkta kalmış on binlerce API anahtarı hâlâ ortalıkta dolaşıyor.
NCC Group’un baş bilim adamı Chris Anley, “Hikayenin özü şu: Kaynak kodunuza kimlik bilgileri koymayın” diyor. “Ve kesinlikle o kaynak kodunu yayınlamayın.”
OpenAI Anahtarları Her Yerde
ChatGPT’nin popülaritesi arttıkça, anahtarları açık Web’de çoğalmaya başladı.
İçinde The State of the Secret Sprawl 2023 raporu8 Mart’ta yayınlanan GitGuardian, halka açık depolarda yeni keşfedilen ChatGPT popülaritesi ile orantılı olarak artan binlerce açıkta OpenAI anahtarı gözlemledi.
Bu yazı itibariyle GitGuardian, Dark Reading’e yalnızca GitHub’da halka açık olarak sızdırılmış 50.000’den fazla OpenAI anahtarı olduğunu söylüyor. Bu, OpenAI geliştirici hesaplarını yalnızca MongoDB ve Google’ın ardından dünyada en çok açığa çıkan üçüncü hesap yapar.
Güvenlik açığıyla birlikte suistimal de geldi: Siber suçlular o zamandan beri çalıntı OpenAI anahtarlarının ticaretini yapıyor; sosyal platformlarda açıkta. Bireyler, ilişkili hesapları kullanmak için çalınan anahtarları kullanabilir, sahibine büyük faturalar tahakkuk ettirebilir ve muhtemelen yol boyunca hassas iş verilerine erişebilir.
Bu pazarı sağlayan şey, yalnızca geliştiricilerin durum tespiti eksikliği değil, aynı zamanda herkesin bu bilgileri halka açık forumlarda kolayca bulabilmesidir. Mart ayında, Vice’a göre Discodtehe, “geçen gün repl.it’i kazıdım ve 1000’den fazla çalışan openai api anahtarı buldum” diye böbürlendi ve ekledi, “Tam bir kazıma bile yapmadım, sadece yaklaşık yarısına baktım sonuçlardan.”
Muhtemelen abartmıyorlardı. GitGuardian’da güvenlik geliştiricisi savunucusu olan Dwayne McDaniel, bir Zoom görüşmesinde bunun ne kadar kolay olabileceğini gösterdi. “Birkaç dakika önce bir Replit hesabına kaydoldum ve OpenAI anahtarlarını bulmam iki dakikadan az sürdü” dedi.
“GitHub, Replit gibi herhangi bir veri havuzu yönetim sisteminde bir arama işlevi vardır. vb. ve arama sonuçlarını geri getirdi” diye açıkladı.
Geliştiriciler API Sırlarını Nasıl Koruyabilir?
Kuruluşların sabit kodlanmış sırlarla ilgili sorunu, her zaman düşük seviyeli bilgisayar korsanları ve Discord kullanıcılarıyla bitmiyor.
Anley’in açıkladığı gibi: “İnsanların kimlik bilgilerini koda koymasının bu kadar ciddi olmasının nedenlerinden biri, nispeten sakin zamanlarda bile, teknoloji endüstrisi cirosunun yılda yaklaşık %20 olması. özel kurumsal depolar, bu da her yıl geliştiricilerinizin %20’sinin arka ceplerinde sistemlerinizin yönetici kimlik bilgileriyle çekip gitmesi anlamına gelir.
Mevcut ve eski çalışanlar, tesadüfen veya kötü niyetle kurumsal güzellikleri ifşa edebilir.
Ancak sır saklamak zor olmak zorunda değil. OpenAI bile sağlar bunun için kullanışlı bir rehberkuruluşların her bir kullanıcıya benzersiz anahtarlar atamasını, çevresel değişkenleri ve bir anahtar yönetim hizmetini kullanmasını, anahtarları döndürmesini ve elbette anahtarları asla koda dahil etmemesini tavsiye ediyor.
McDaniel, aynı noktaların hepsini tekrarlıyor. “Doğru olan şey, anahtarlarınızı bir kasaya koymak ve sık sık döndürmek olacaktır. Bunu düzenli olarak yapın – çok hassassanız ve hedef alındığınızı biliyorsanız, her gün yapın.” Üçüncü taraf araçlar, bu 24 saatlik rotasyona yardımcı olabilir.”
Günün sonunda, “sahip olabileceğiniz en iyi sırlar, ya var olmayan ya da otomatik olarak döndürüldükleri için kendinizi asla gerçekten tanımadığınız sırlardır” sonucuna varıyor.