O yatdı, səhər gözlərini açanda hesabına 400 dollar əlavə yazılmışdı.
Bir sətir kod da yazmamışdı. Kompüteri açmamışdı. O 400 dollar o yatarkən başqalarının onun hesabından istifadə etməsi ilə xərclənmişdi.
Oktyabrın 17-si gecə yarısı açıq mənbəli proqramlaşdırma alətləri hazırlayan şirkət bu alətdən istifadə etmiş insanlara e-poçt göndərməyə başladı. Başlıq qısa idi. Təcili tədbir görülməsi tələb olunurdu. Üçüncü tərəf xidmət təminatçısının açarlarının sızmış ola biləcəyi deyilirdi.
İkinci məktub səhərə yaxın gəldi və hansı şirkətlərin olduğu açıq yazılmışdı: OpenAI, Anthropic, Google.
Təsirlənənlər onun onlayn panelindəki hesabların 1,4 faizini təşkil edirdi. Rəqəm böyük deyil. Amma zərərçəkənlərin hər biri üçün bu, hər şey deməkdir.
Problem bir yerdə idi. Hücumçular istifadədən çıxarılmaqda olan köhnə sistemə daxil olmuşdular. İzləri ən tez oktyabrın 16-sı gecə yarısına qədər izləmək mümkün idi, amma bu insanlar ilk məktubu yalnız 22 saat sonra aldılar. 22 saat ərzində neçə sorğu göndərmək, limiti dibinə qədər xərcləmək, sən gözlərini açmamış bütün işi başa çatdırmaq olar.
Problem harada idi? Hamının artıq söndürüldüyünü düşündüyü bir küncdə. Niyə? Çünki heç kimin siyahısında yox idi və nəsə baş verəndə heç kimin ağlına ilk gəlmirdi.
Çoxları açarların təxmin edilərək, sınaqdan keçirilib tapıldığını düşünür. Xeyr. Sızmaların böyük əksəriyyətində heç nəyi sındırmağa ehtiyac yoxdur. Məlumat sadəcə artıq heç kimin baxmadığı yerdə qalır, amma qapı hələ də açıqdır. Onu əsas sistemdən köçürür, istismardan çıxarılacaq kimi işarələyir, sonra isə hələ də işlədiyini unudursan.
Bu köhnə sistemin bu qədər uzun müddət diqqətdən kənarda qalmasına kimin səbəb olduğu barədə şirkət dəqiq açıqlama verməyib.
Bir proqramçı əvvəlcə Anthropic-dən limitlə bağlı xəbərdarlıq, sonra isə aləti hazırlayan şirkətdən bildiriş aldığını deyib. Ardıcıllıq tərsinə idi. Pul alan tərəf pul xərcləyən tərəfdən əvvəl xəbər tutmuşdu. Birinin Google Cloud hesabından 200 avro xərclənmiş, layihəsi sui-istifadəyə görə dayandırılmışdı. Başqaları isə aylıq 20 dollarlıq limitlərinin tükəndiyini deyirdi.
Pulu geri qaytaracaqlarmı? Şirkət yalnız üç şirkətlə danışıqlar apardığını deyib. Hər halda, bu, vəddən çox uzaq səslənir. Məlumatların başqa modelləri öyrətmək üçün istifadə edilib-edilmedi də bəlli deyil. Şirkət bunu genişmiqyaslı distillə hücumu adlandırır, amma bu iddianın əsaslı olub-olmadığını araşdırmanın nəticələrini gözləmədən bilmək mümkün deyil.
Bu hadisənin mahiyyəti kripto aləmində tanışdır.
Cüzdanında bir dəstə icazə var. 2021-ci ildə hansısa saytda limitsiz icazə vermişdin — ağ siyahıya düşmək üçün tələsirdin, klikləyəndə də özünü cəld saymışdın. Ertəsi gün saytın adını unutdun, amma həmin müqavilə ünvanı cüzdanında qaldı, kimsə qapını döysün deyə gözlədi. O vaxt icazəni ləğv etmək heç ağlına da gəlməmişdi.
Layihə çoxdan yoxa çıxıb. İcazə isə hələ də qüvvədədir. Sən xatırlamırsan. Blokçeyn xatırlayır.
Bu, açarı artıq istifadədən çıxarılmış bir sistemdə saxlamaqla eyni şeydir.
Keçən il çox istifadə olunan veb bağlantı komponentinin bir versiyası dəyişdirildi. Cəmi bir neçə saat ərzində xeyli adamın cüzdanı boşaldıldı, həyəcan siqnalı verməyə belə macal tapmadılar. Heç kim nəyisə sındırmadı. Sadəcə komponentin versiyasını dəyişdilər. Sən bunu heç hiss etməzdin. İmza atanda interfeysdə sənə deyilən sözlər əvvəlki kimi idi.
Bu barədə xeyli düşündüm. Təhlükəsizliyin hesabını yeniliklə ölçmək olmaz. Yeni şeyləri hər gün izləyirlər, köhnələrə isə heç kim baxmır — məsələ bundan ibarətdir. İstismardan çıxarılma prosesi yarımçıq qalmış sistemlər ən təhlükəliləridir: onlar nə texniki xidmət siyahısındadır, nə də tamamilə ölüblər. Hamı onların öz-özünə yox olacağını düşünür.
Bəs nə etməli? Konkret deyim. Cüzdanını aç, icazələr siyahısında ən əvvələ qədər get, tanımadığın bir şey görsən, icazəni ləğv et. Üç il əvvəl qeydiyyatdan keçdiyin, indi şifrəsini belə xatırlamadığın kriptobirjanın hesabına girib API açarlarını tamamilə sil — xüsusən də pul çıxarma icazəsi olanları. Bərpa sözlərini əl ilə yaz, telefonunun foto albomuna çəkmə.
On dəqiqədən çox çəkməz.
On dəqiqə — çoxdan unutmuş ola biləcəyin bir giriş yolunu bağlamaq üçün.
Doğrudan da, buna dəyər.
$BTC $ETH $BNB #OpenCode #API密钥 #账户安全 #kripto