Filtración de 13,000 capturas de pantalla internas por agentes de IA

Filtraciones de información sensible

Recientemente, se ha revelado una filtración de información interna que afecta a más de 300 organizaciones, incluidas empresas Fortune 500 y un laboratorio de IA avanzado. Este incidente ha resultado en la exposición de más de 13,000 capturas de pantalla privadas, gracias a que los agentes de IA han estado operando sin la supervisión adecuada.

Las capturas de pantalla filtradas no solo muestran imágenes de software interno y en desarrollo, sino que también incluyen información corporativa y de clientes, datos financieros e incluso grabaciones de interfaces de movimiento de dinero. Este problema, identificado en un informe de la firma de seguridad Glow, se debe a un uso inadecuado de los sistemas de gestión de código, como GitHub.

Cómo ocurrió la filtración

El problema surge de la forma en que los desarrolladores adjuntan imágenes a las solicitudes de cambios de código, conocidas como "pull requests" (PRs). Mientras que los humanos pueden utilizar una interfaz gráfica para adjuntar imágenes, los bots deben usar la línea de comandos, que no permite esta función en repositorios privados. Para solucionar esto, los agentes publicaron las PR en repositorios privados, pero incluyeron enlaces a imágenes alojadas en repositorios públicos.

Glow ha encontrado que, en aproximadamente un tercio de las empresas afectadas, los desarrolladores utilizaban una herramienta llamada gitshot para adjuntar capturas de pantalla. La búsqueda de imágenes vinculadas por esta herramienta es sencilla, ya que se puede identificar fácilmente a través de la etiqueta "_gitshot". En el 93% de los casos, las imágenes estaban en repositorios controlados directamente por los nombres de usuario de los desarrolladores.

Recomendaciones para mitigar riesgos

Glow ha proporcionado varias recomendaciones para evitar futuras filtraciones:

• Verificar el uso de cuentas: Asegurarse de que los empleados no utilicen repositorios bajo sus propias cuentas.
• Auditar cuentas: Revisar las cuentas y el código gestionado por empleados que ya no están en la empresa.
• Limitar el uso de "shadow AI": Evitar que los empleados se registren en herramientas de IA sin consultar primero al departamento de IT.
• Vetar software: Realizar una revisión exhaustiva del software y las bibliotecas de código utilizadas para el desarrollo.
• Leer instrucciones cuidadosamente: Asegurarse de entender las instrucciones y reglas de cualquier habilidad de agente utilizada en el proceso de desarrollo.

Estas medidas son esenciales para proteger la privacidad y la seguridad de la información dentro de las organizaciones.