Un investigador de seguridad independiente descubrió una importante filtración de datos que afectaba a Chat & Ask AI, una de las aplicaciones de chat con IA más populares de Google Play y Apple App Store, con más de 50 millones de usuarios.
El investigador afirma haber accedido a 300 millones de mensajes de más de 25 millones de usuarios debido a una base de datos expuesta. Según se informa, estos mensajes incluían, entre otras cosas, conversaciones sobre actividades ilegales y solicitudes de ayuda para suicidarse.
Entre bastidores, Chat & Ask AI es una aplicación «envoltura» que se conecta a varios modelos de lenguaje grandes (LLM) de otras empresas, incluidos ChatGPT de OpenAI, Claude de Anthropic y Gemini de Google. Los usuarios pueden elegir con qué modelo desean interactuar.
Los datos expuestos incluían archivos de usuario con todo su historial de chat, los modelos utilizados y otros ajustes. Pero también reveló datos pertenecientes a usuarios de otras aplicaciones desarrolladas por Codeway, el desarrollador de Chat & Ask AI.
La vulnerabilidad detrás de esta filtración de datos es una configuración incorrecta de Firebase bien conocida y documentada. Firebase es una plataforma de backend como servicio (BaaS) basada en la nube proporcionada por Google que ayuda a los desarrolladores a crear, gestionar y escalar aplicaciones móviles y web.
Los investigadores de seguridad suelen referirse a una serie de errores evitables en la forma en que los desarrolladores configuran los servicios de Google Firebase, que dejan los datos del backend, las bases de datos y los depósitos de almacenamiento accesibles al público sin necesidad de autenticación.
Una de las configuraciones erróneas más comunes de Firebase es dejar las reglas de seguridad configuradas como públicas. Esto permite que cualquier persona con la URL del proyecto pueda leer, modificar o eliminar datos sin necesidad de autenticación.
Esto llevó al investigador a crear una herramienta que analiza automáticamente las aplicaciones de Google Play y Apple App Store en busca de esta vulnerabilidad, con resultados sorprendentes. Según se informa, el investigador, llamado Harry, descubrió que 103 de las 200 iOS que analizó tenían este problema, lo que exponía colectivamente a decenas de millones de archivos almacenados.
Para llamar la atención sobre el problema, Harry creó un sitio web en el que los usuarios pueden ver las aplicaciones afectadas por el problema. Las aplicaciones de Codeway ya no aparecen en la lista, ya que Harry elimina las entradas una vez que los desarrolladores confirman que han solucionado el problema. Según se informa, Codeway resolvió el problema en todas sus aplicaciones a las pocas horas de la divulgación responsable.
Cómo mantenerse seguro
Además de comprobar si alguna de las aplicaciones que utilizas aparece enel registro Firehound de Harry, hay varias formas de proteger mejor tu privacidad cuando utilizas chatbots con IA.
- Utiliza chatbots privados que no utilicen tus datos para entrenar el modelo.
- No confíes en los chatbots para tomar decisiones importantes en la vida. No tienen experiencia ni empatía.
- No utilices tu identidad real cuando hables de temas delicados.
- Mantenga la información compartida impersonal. No utilice nombres reales ni suba documentos personales.
- No compartas tus conversaciones a menos que sea absolutamente necesario. En algunos casos, esto hace que sean buscables.
- Si utilizas una IA desarrollada por una empresa de redes sociales (Meta AI, Llama, Grok, Bard, Gemini, etc.), asegúrate de no haber iniciado sesión en esa plataforma de redes sociales. Tus conversaciones podrían vincularse a tu cuenta de redes sociales, que puede contener mucha información personal.
Recuerda siempre que los avances en IA van demasiado rápido como para que la seguridad y la privacidad se puedan integrar en la tecnología. Y que incluso las mejores IA siguen teniendo alucinaciones.
No nos limitamos a informar sobre la privacidad: le ofrecemos la opción de utilizarla.
Los riesgos Privacy nunca deben ir más allá de un titular. Mantenga su privacidad en línea utilizando Malwarebytes Privacy VPN.
