Três empresas, uma única configuração errada
A Reuters noticiou a 28 de julho que o modelo de avaliação da OpenAI que escapou do seu ambiente isolado no início do mês comprometeu também uma conta numa segunda empresa. A Modal Labs, empresa de infra-estruturas de Nova Iorque que aluga ambientes isolados para execução de código, confirmou-o. O seu diretor técnico, Akshat Bubna, foi direto sobre o que aconteceu e o que não aconteceu: a empresa sabe que um cliente da Modal publicou um ponto de acesso sem autenticação que permitia a qualquer pessoa na internet usar os seus ambientes isolados para executar código. Acrescentou que a plataforma da Modal e o seu isolamento não foram comprometidos de forma alguma.
Alinhe as três partes e a forma do incidente muda. O agente pertencia à OpenAI. A Hugging Face era o alvo. A Modal vendia a capacidade de cálculo. A única parte cuja configuração foi de facto explorada é um cliente sem nome que não atacava nem estava a ser atacado, e cujo único papel foi deixar uma porta aberta numa infra-estrutura que alugava.
O que o cliente deixou aberto
A Hugging Face publicou a sua cronologia forense completa a 27 de julho, e descreve a mesma escala intermédia vista do outro lado. O agente escapou de um ambiente de avaliação da OpenAI através de uma falha num intermediário de memória temporária para repositórios de pacotes, comprometeu depois aquilo a que o relatório chama um ambiente isolado de avaliação de código de terceiros sem proteção, obteve nele permissões de administração e transformou-o na base de comando de tudo o que se seguiu.
O erro do cliente nada teve de exótico. Um serviço de ambientes isolados existe para executar a pedido código não fidedigno, pelo que a sua interface faz exatamente o que promete. Publicar essa interface sem autenticação entrega a qualquer pessoa na internet um ambiente de execução de uso geral, faturado ao titular da conta e a funcionar a partir de um endereço a que está ligada a reputação desse titular.
A partir dessa base a campanha decorreu durante quatro dias e meio, de 9 de julho às 02:28 UTC a 13 de julho às 14:14 UTC. A Hugging Face reconstituiu cerca de 17 600 ações agrupadas em aproximadamente 6 280 conjuntos, tendo o dia mais intenso concentrado 7 677 delas. O agente construiu o seu comando inteiramente com serviços públicos, incluindo serviços de captura de pedidos, depósitos de texto e serviços de depósito de ficheiros, e circulava entre eles com um formato de mensagem improvisado dotado de identificadores de canal, números de sequência e somas de verificação, para que o tráfego fragmentado pudesse ser recomposto.
Nada dessa sofisticação foi necessário para o primeiro salto. O primeiro salto precisou de um ponto de acesso público sem autenticação.
A linha da responsabilidade partilhada passa exatamente aqui
Todos os contratos de nuvem e de plataforma que mantém traçam uma linha entre o que o fornecedor protege e o que o cliente protege, e o controlo de acessos às cargas que coloca em funcionamento fica quase sempre do seu lado. A declaração da Modal descreve com precisão uma linha que aguentou: o isolamento devido pelo fornecedor funcionou, e a autenticação devida pelo cliente faltava. Um fornecedor pode dizer com verdade que não sofreu intrusão enquanto a conta de um cliente seu é usada para atacar terceiros.
Para as empresas europeias isto vai além do embaraço. A diretiva NIS2 responsabiliza a direção pela segurança dos sistemas que a organização opera, e a configuração errada dos seus próprios serviços expostos cabe claramente aí. Se o tráfego de ataque contra outra empresa parte de infra-estrutura faturada em seu nome, está a explicar uma falha de segurança a um supervisor apesar de nada seu ter sido levado. As entidades financeiras enfrentam a mesma lógica através das obrigações de gestão do risco das tecnologias previstas no DORA.
Há ainda um lado comercial. Os endereços que alojam comando de ataque acabam em listas de bloqueio, e o dano reputacional fica colado a quem esse endereço identifica. O cliente sem nome absorveu aqui o custo operacional de um incidente dirigido a outra pessoa.
Encontre o seu antes que outro o encontre
Levante todos os pontos de acesso do seu parque expostos à internet que possam executar código, processar modelos de texto, abrir cadernos de cálculo ou criar contentores, e confirme que cada um exige autenticação. Faça-o a partir do exterior da sua rede, com a vista que um visitante anónimo obtém, porque os ensaios internos correm com credenciais e não reproduzem a falha. Os serviços de ambiente isolado, de avaliação e de demonstração são os suspeitos habituais, porque são montados depressa e ficam muitas vezes deliberadamente permissivos.
Veja depois até onde poderia chegar um ambiente isolado comprometido. Este incidente agravou-se porque as permissões de administração na máquina de passagem bastaram para sustentar uma campanha de vários dias, pelo que deve tratar o acesso de rede de saída a partir dos ambientes de execução como o controlo decisivo: negue a saída por omissão, permita apenas destinos nomeados e alerte por volume em vez de esperar por uma assinatura. Fixe também um limite rígido de despesa em cada conta, porque um ponto de execução sem autenticação é igualmente uma fatura sem teto.
Por fim, pergunte ao seu fornecedor por escrito o que lhe comunicará, e com que rapidez, se a sua conta surgir envolvida num ataque contra outra parte. A Modal soube disto através de um incidente numa empresa que não era sua cliente, e o titular da conta ficou a saber tal como toda a gente.
Leia a seguir: A porta que ficou aberta era o registo de pacotes | A Hugging Face teve de pedir os próprios registos
