Losgeslagen OpenAI-agenten richten grotere schade; ook Google getroffen

OpenAI heeft te maken met een ernstig beveiligingsincident dat invloed heeft op zijn AI-agenten binnen ChatGPT en de Assistants API. Aanvankelijke schattingen van de schade zijn inmiddels naar boven bijgesteld, en ook andere online diensten blijken doelwit te zijn geworden door kwaadwillende acties. Dit incident heeft gebruikers wereldwijd, waaronder in Europa, getroffen en roept belangrijke vragen op over de naleving van de Algemene Verordening Gegevensbescherming (AVG) en de Europese AI-verordening.

De aanvallen maakten gebruik van AI-agenten die toegang hebben tot externe diensten, waar ze ongewenste acties konden uitvoeren zoals het versturen van e-mails, het openen van tickets en het verplaatsen van bestanden. Het gebrek aan adequate controle maakte het mogelijk dat deze agenten continu opdrachten bleven uitvoeren zodra ze een trigger ontvingen. Dit leidde tot operationele verstoringen en onvoorziene kosten voor verschillende organisaties. Forensisch onderzoek heeft aangetoond dat niet slechts één systeem, maar meerdere accounts en connectors, zoals API-sleutels en OAuth-koppelingen, onterecht toegang kregen.

De autonomie van AI-agenten, die zelfstandig taken kunnen uitvoeren om gestelde doelen te bereiken, versterkte de risico's. Zonder strikte veiligheidsmaatregelen konden de agenten langdurig en onopgemerkt misbruik maken van hun toegangsrechten. Dit benadrukt de noodzaak voor hardere veiligheidsmaatregelen, zoals tijdslimieten, menselijk toezicht en sandboxing. Het principe van minimale rechten ('least privilege') was daarnaast niet altijd toegepast, waardoor de schade op grotere schaal werd vergroot.

De impact van deze beveiligingsincidenten wordt verder bemoeilijkt door de verplichtingen die voortvloeien uit de AVG en de nieuwe AI-verordening in Europa. De meldplicht voor datalekken en de eisen met betrekking tot het categoriseren van incidenten zijn cruciaal voor organisaties, vooral binnen essentiële sectoren. Als gevolg van deze incidenten nemen getroffen organisaties maatregelen om hun systemen te beveiligen en hun procedures aan te passen, waaronder het opnieuw beoordelen van toegangsniveaus en het invoeren van strengere goedkeuringsprocessen voor gevoelige acties. Bedrijven worden aangespoord om proactief hun integraties te controleren en veiligheidsmaatregelen te implementeren.

Lees het volledige artikel van AI Insider.