แอนโทรปิก (Anthropic) แจ้งข้อมูลบัญชี Claude องค์กรราว 100 บัญชีอาจรั่วไหล PIPC กำลังพิจารณา

ข้อมูลของบัญชี Claude สำหรับองค์กรในเกาหลีใต้ราว 100 บัญชีอาจถูกเปิดเผยต่อบุคคลภายนอก แอนโทรปิก (Anthropic) แจ้งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเกาหลีใต้ (PIPC) เมื่อวันที่ 31 ตุลาคม

PIPC เปิดเผยเมื่อวันที่ 9 ว่ากำลังตรวจสอบข้อมูลที่ได้รับแจ้งในเบื้องต้น สำนักข่าวยอนฮับ (Yonhap) รายงานเรื่องนี้ โดยยังไม่มีข้อสรุปว่าจะเริ่มการสอบสวนอย่างเป็นทางการหรือไม่ และยังไม่ทราบขนาดความเสียหายที่แน่ชัด

ตัวเลขราว 100 หมายถึงจำนวนบัญชีองค์กร รายงานแต่ละฉบับระบุตัวเลขต่างกัน ทั้งราว 100 บัญชี มากกว่า 100 บัญชี และ 100 บัญชีขึ้นไป จึงยังไม่สามารถระบุจำนวนที่แน่นอนได้ ส่วนจำนวนและขอบเขตของข้อมูลส่วนบุคคลที่มีผู้เข้าถึงจริงก็ยังไม่มีการเปิดเผย

ประกาศแจ้งลูกค้าของแอนโทรปิกที่เผยแพร่โดยเจมีสัน โอไรลลี (Jamieson O’Reilly) นักวิจัยด้านความปลอดภัย ระบุว่ารายการข้อมูลที่อาจถูกเปิดเผยรวมถึงชื่อและที่อยู่อีเมลซึ่งใช้ติดต่อเรื่องงาน

ประกาศยังระบุรหัสบัญชีองค์กร รหัสองค์กร ระดับแพ็กเกจ และตัวชี้วัดการใช้งานกับค่าใช้จ่าย โดยแจ้งว่าข้อมูลเหล่านี้อาจเข้าถึงได้

อย่างไรก็ตาม ประกาศระบุว่าเนื้อหาการสนทนาใน Claude ทั้งพรอมป์ต์และคำตอบ รหัสผ่าน ข้อมูลบัตรชำระเงิน และบัญชีธนาคาร ไม่อยู่ในขอบเขตข้อมูลที่เข้าถึงได้

แอนโทรปิกระบุว่าได้ปิดกั้นการเข้าถึงดังกล่าวและแก้ไขช่องโหว่แล้ว พร้อมกล่าวว่าบริษัทด้านความปลอดภัยยืนยันเป็นลายลักษณ์อักษรว่าลบข้อมูลที่เข้าถึงได้และจะไม่นำไปใช้ อีกทั้งไม่พบหลักฐานการใช้ข้อมูลในทางที่ผิด

แต่ยังไม่มีการเปิดเผยเอกสารที่ยืนยันโดยหน่วยงานอิสระว่าข้อมูลที่เข้าถึงได้ถูกลบแล้วจริง

เดอะวอชิงตันโพสต์ (The Washington Post) รายงานว่า Cathedral ใช้ช่องโหว่ในซอฟต์แวร์ทำงานของบุคคลที่สามเพื่อเข้าถึงระบบภายในของแอนโทรปิก ขณะที่แอนโทรปิกระบุว่าการเข้าถึงจำกัดอยู่ในบางส่วนของระบบฝ่ายขาย ฝ่ายทรัพยากรบุคคล และฝ่ายไอที

แอนโทรปิกกล่าวว่า Cathedral ไม่สามารถเข้าถึงซอร์สโค้ดและน้ำหนักโมเดลได้ การแจ้งครั้งนี้จึงไม่ได้หมายความว่ามีผลสอบสวนยืนยันว่าโมเดล Claude ถูกเจาะระบบ

แอนโทรปิกอธิบายว่ากิจกรรมของ Cathedral เริ่มจากโครงการทดสอบความปลอดภัยภายนอก แต่การเข้าถึงผ่านซอฟต์แวร์ของบุคคลที่สามอยู่นอกขอบเขตที่โครงการอนุญาต ประกาศถึงลูกค้าระบุว่าการเข้าถึงดังกล่าวไม่ได้รับอนุญาต

ประกาศถึงลูกค้าไม่ได้ระบุชื่อบริษัทด้านความปลอดภัย ต่อมาลิเดีย ฮัลลี (Lydia Hallie) พนักงานของแอนโทรปิกชี้แจงต่อสาธารณะว่า ประกาศดังกล่าวกล่าวถึงกรณีการเข้าถึงของ Cathedral

เจมีสัน โอไรลลีวิจารณ์ว่าประกาศระบุพร้อมกันว่าไม่ทราบว่ามีผู้เปิดดูข้อมูลจริงหรือไม่ และความเสี่ยงไม่ได้เพิ่มขึ้น ความเห็นนี้เป็นมุมมองส่วนบุคคลของนักวิจัยด้านความปลอดภัย

ตัวชี้วัดการใช้งานและค่าใช้จ่ายในประกาศเป็นข้อมูลการใช้ Claude โดยไม่มีการระบุความเชื่อมโยงโดยตรงกับโทเคนสินทรัพย์ดิจิทัล