Un ricercatore indipendente nel campo della sicurezza ha scoperto una grave violazione dei dati che ha interessato Chat & Ask AI, una delle app di chat AI più popolari su Google Play e Apple App Store, con oltre 50 milioni di utenti.
Il ricercatore sostiene di aver avuto accesso a 300 milioni di messaggi provenienti da oltre 25 milioni di utenti grazie a un database esposto. Secondo quanto riferito, questi messaggi includevano, tra le altre cose, discussioni su attività illegali e richieste di assistenza per il suicidio.
Dietro le quinte, Chat & Ask AI è un'app "wrapper" che si collega a vari modelli linguistici di grandi dimensioni (LLM) di altre aziende, tra cui ChatGPT di OpenAI, Claude di Anthropic e Gemini di Google. Gli utenti possono scegliere con quale modello interagire.
I dati esposti includevano file utente contenenti l'intera cronologia delle chat, i modelli utilizzati e altre impostazioni. Ma sono stati rivelati anche dati appartenenti agli utenti di altre app sviluppate da Codeway, lo sviluppatore di Chat & Ask AI.
La vulnerabilità alla base di questa violazione dei dati è una configurazione errata di Firebase ben nota e documentata. Firebase è una piattaforma BaaS (Backend-as-a-Service) basata su cloud fornita da Google che aiuta gli sviluppatori a creare, gestire e scalare applicazioni mobili e web.
I ricercatori nel campo della sicurezza fanno spesso riferimento a una serie di errori evitabili commessi dagli sviluppatori nella configurazione dei servizi Google Firebase, che rendono accessibili al pubblico senza autenticazione i dati di backend, i database e i bucket di archiviazione.
Una delle configurazioni errate più comuni di Firebase è lasciare le regole di sicurezza impostate su pubblico. Ciò consente a chiunque disponga dell'URL del progetto di leggere, modificare o eliminare dati senza autenticazione.
Questo ha spinto il ricercatore a creare uno strumento che analizza automaticamente le app su Google Play e Apple App Store alla ricerca di questa vulnerabilità, con risultati sorprendenti. Secondo quanto riferito, il ricercatore, di nome Harry, ha scoperto che 103 delle 200 iOS analizzate presentavano questo problema, esponendo complessivamente decine di milioni di file archiviati.
Per richiamare l'attenzione sul problema, Harry ha creato un sito web dove gli utenti possono vedere le app interessate dal problema. Le app di Codeway non sono più elencate lì, poiché Harry rimuove le voci una volta che gli sviluppatori confermano di aver risolto il problema. Secondo quanto riferito, Codeway ha risolto il problema in tutte le sue app entro poche ore dalla divulgazione responsabile.
Come stare al sicuro
Oltre a verificare se le app che utilizzi compaiono nelregistro Firehound di Harry, esistono alcuni modi per proteggere meglio la tua privacy quando utilizzi chatbot basati sull'intelligenza artificiale.
- Utilizza chatbot privati che non utilizzano i tuoi dati per addestrare il modello.
- Non affidarti ai chatbot per le decisioni importanti della vita. Non hanno esperienza né empatia.
- Non usare la tua vera identità quando discuti argomenti delicati.
- Mantieni le informazioni condivise impersonali. Non utilizzare nomi reali e non caricare documenti personali.
- Non condividere le tue conversazioni a meno che non sia assolutamente necessario. In alcuni casi, ciò le rende ricercabili.
- Se utilizzi un'intelligenza artificiale sviluppata da un'azienda di social media (Meta AI, Llama, Grok, Bard, Gemini e così via), assicurati di non aver effettuato l'accesso a quella piattaforma social. Le tue conversazioni potrebbero essere collegate al tuo account social, che potrebbe contenere molte informazioni personali.
Ricordate sempre che gli sviluppi nell'ambito dell'intelligenza artificiale procedono troppo rapidamente perché la sicurezza e la privacy possano essere integrate nella tecnologia. E che anche le migliori IA continuano ad avere allucinazioni.
Non ci limitiamo a segnalare la privacy, ma vi offriamo la possibilità di utilizzarla.
I rischi per Privacy non dovrebbero mai andare oltre un titolo di giornale. Mantenete la vostra privacy online utilizzando Malwarebytes Privacy VPN.
