Ein unabhängiger Sicherheitsforscher hat eine schwerwiegende Datenpanne aufgedeckt, von der Chat & Ask AI betroffen ist, eine der beliebtesten KI-Chat-Apps im Google Play Store und Apple App Store mit mehr als 50 Millionen Nutzern.
Der Forscher behauptet, aufgrund einer offengelegten Datenbank Zugriff auf 300 Millionen Nachrichten von über 25 Millionen Nutzern gehabt zu haben. Diese Nachrichten sollen unter anderem Diskussionen über illegale Aktivitäten und Bitten um Suizidhilfe enthalten haben.
Hinter den Kulissen ist Chat & Ask AI eine „Wrapper“-App, die sich in verschiedene große Sprachmodelle (LLMs) anderer Unternehmen einbinden lässt, darunter ChatGPT von OpenAI, Claude von Anthropic und Gemini von Google. Die Nutzer können wählen, mit welchem Modell sie interagieren möchten.
Zu den offengelegten Daten gehörten Benutzerdateien mit dem gesamten Chat-Verlauf, den verwendeten Modellen und anderen Einstellungen. Es wurden jedoch auch Daten von Benutzern anderer Apps offengelegt, die von Codeway – dem Entwickler von Chat & Ask AI – entwickelt wurden.
Die Schwachstelle hinter dieser Datenpanne ist eine bekannte und dokumentierte Fehlkonfiguration von Firebase. Firebase ist eine cloudbasierte Backend-as-a-Service-Plattform (BaaS) von Google, die Entwicklern beim Erstellen, Verwalten und Skalieren von Mobil- und Webanwendungen hilft.
Sicherheitsforscher verweisen häufig auf eine Reihe vermeidbarer Fehler bei der Einrichtung von Google Firebase-Diensten durch Entwickler, durch die Backend-Daten, Datenbanken und Speicher-Buckets ohne Authentifizierung für die Öffentlichkeit zugänglich bleiben.
Eine der häufigsten Fehlkonfigurationen bei Firebase ist es, die Sicherheitsregeln auf „öffentlich” zu belassen. Dadurch kann jeder, der über die Projekt-URL verfügt, Daten ohne Authentifizierung lesen, ändern oder löschen.
Dies veranlasste den Forscher, ein Tool zu entwickeln, das Apps im Google Play Store und im Apple App Store automatisch auf diese Schwachstelle überprüft – mit erstaunlichen Ergebnissen. Berichten zufolge stellte der Forscher namens Harry fest, dass 103 von 200 untersuchten iOS dieses Problem aufwiesen, wodurch insgesamt mehrere Millionen gespeicherte Dateien offengelegt wurden.
Um auf das Problem aufmerksam zu machen, richtete Harry eine Website ein, auf der Nutzer die betroffenen Apps einsehen können. Die Apps von Codeway sind dort nicht mehr aufgeführt, da Harry die Einträge entfernt, sobald die Entwickler bestätigen, dass sie das Problem behoben haben. Codeway hat das Problem Berichten zufolge innerhalb weniger Stunden nach der verantwortungsvollen Offenlegung in allen seinen Apps behoben.
Wie man sicher bleibt
Neben der Überprüfung, ob von Ihnen verwendete Apps in HarrysFirehound- -Registrierung aufgeführt sind, gibt es einige Möglichkeiten, Ihre Privatsphäre bei der Verwendung von KI-Chatbots besser zu schützen.
- Verwenden Sie private Chatbots, die Ihre Daten nicht zum Trainieren des Modells verwenden.
- Verlassen Sie sich bei wichtigen Lebensentscheidungen nicht auf Chatbots. Sie haben weder Erfahrung noch Einfühlungsvermögen.
- Verwenden Sie bei der Diskussion sensibler Themen nicht Ihre echte Identität.
- Halten Sie geteilte Informationen unpersönlich. Verwenden Sie keine echten Namen und laden Sie keine persönlichen Dokumente hoch.
- Teilen Sie Ihre Unterhaltungen nicht, es sei denn, es ist absolut notwendig. In einigen Fällen werden sie dadurch durchsuchbar.
- Wenn Sie eine KI verwenden, die von einem Social-Media-Unternehmen entwickelt wurde (Meta AI, Llama, Grok, Bard, Gemini usw.), stellen Sie sicher, dass Sie nicht bei dieser Social-Media-Plattform angemeldet sind. Ihre Unterhaltungen könnten mit Ihrem Social-Media-Konto verknüpft werden, das möglicherweise viele persönliche Informationen enthält.
Denken Sie immer daran, dass die Entwicklungen im Bereich der KI zu schnell voranschreiten, als dass Sicherheit und Datenschutz in die Technologie integriert werden könnten. Und dass selbst die besten KIs immer noch Halluzinationen haben.
Wir berichten nicht nur über den Datenschutz - wir bieten Ihnen auch die Möglichkeit, ihn zu nutzen.
Risiken für Privacy sollten nie über eine Schlagzeile hinausgehen. Schützen Sie Ihre Online-Privatsphäre mit Malwarebytes Privacy VPN.
