Yaklaşık 100 kurumsal Claude hesabı için olası veri ifşası bildirimi: Anthropic’in başvurusu inceleniyor

Anthropic, yaklaşık 100 kurumsal Claude hesabına ait bilgilerin dışarıya açılmış olabileceğini 31 Ekim’de Güney Kore Kişisel Bilgileri Koruma Komisyonu’na bildirdi.

Komisyon, başvurunun ön incelemede olduğunu 9 Kasım’da açıkladı. Yonhap’ın haberine göre, resmî soruşturma başlatılıp başlatılmayacağı ve zararın boyutu henüz belirlenmedi.

Bildirilen yaklaşık 100 sayısı, kurumsal hesapları ifade ediyor. Haberlerde sayı yaklaşık 100, 100’den fazla veya 100 civarında şeklinde farklı aktarıldığı için kesin hesap sayısı bilinmiyor. Gerçekte görüntülenen kişisel bilgilerin sayısı ve kapsamı da açıklanmadı.

Güvenlik araştırmacısı Jamieson O’Reilly’nin paylaştığı Anthropic müşteri bildiriminde, ad ve e-posta adresi gibi iş iletişim bilgilerinin olası erişim kapsamındaki veriler arasında olduğu belirtildi.

Bildirimde kurumsal hesap kimlikleri, kuruluş kimlikleri, abonelik kademeleri ile kullanım ve harcama göstergeleri de erişilebilir olabilecek bilgiler olarak sıralandı.

Claude konuşmalarının, istem ve yanıtların, parolaların, ödeme kartı bilgilerinin ve banka hesap bilgilerinin erişim kapsamına girmediği bildirildi.

Anthropic, söz konusu erişimi engellediğini ve güvenlik açığını giderdiğini açıkladı. Şirket, güvenlik firmasının eriştiği verileri sildiğini ve kullanmayacağını yazılı olarak teyit ettiğini, verilerin kötüye kullanıldığına dair kanıt bulunmadığını da belirtti.

Erişilen verilerin gerçekten silindiğini bağımsız biçimde doğrulayan bir belge yayımlanmadı.

Washington Post, Cathedral’ın üçüncü taraf bir iş yazılımındaki güvenlik açığından yararlanarak Anthropic’in iç sistemlerine eriştiğini bildirdi. Anthropic, erişimin satış, insan kaynakları ve BT sistemlerinin sınırlı bölümleriyle kısıtlı kaldığını söyledi.

Şirket, kaynak koduna ve model ağırlıklarına erişilmediğini açıkladı. Bildirim, Claude modelinin kendisinin ihlal edildiğine dair bir soruşturma sonucu anlamına gelmiyor.

Anthropic’e göre Cathedral’ın faaliyeti harici güvenlik testi programı kapsamında başladı; ancak üçüncü taraf yazılımı kullanılarak yapılan erişim programın izin verdiği sınırların dışına çıktı. Müşterilere gönderilen bildirimde erişim yetkisiz olarak nitelendirildi.

Müşteri bildiriminde güvenlik firmasının adı yer almadı. Anthropic çalışanı Lydia Hallie, daha sonra yaptığı açıklamada bildirimin Cathedral’ın erişim olayına atıfta bulunduğunu söyledi.

Jamieson O’Reilly, verilere gerçekten erişilip erişilmediğinin bilinmediğinin belirtilmesiyle riskin artmadığı yönündeki bilgilendirmenin bir arada sunulmasını eleştirdi. Bu değerlendirme güvenlik araştırmacısının kişisel görüşünü yansıtıyor.

Bildirimdeki kullanım ve harcama göstergeleri Claude kullanımına ilişkin. Bunlarla kripto varlık token’ları arasında doğrudan bir bağlantı kurulmadı.