ഗൂഗിളിന്റെ ജെമിനി എഐ സംവിധാനത്തിൽ ക്ലൗഡ്സെക്ക് ഒരു ഗുരുതര സുരക്ഷാ വീഴ്ച കണ്ടെത്തി. ആൻഡ്രോയ്ഡ് ആപ്പുകളിലെ എപിഐ കീകൾക്ക് അധിക അനുമതികൾ ലഭിക്കുന്നതാണ് പ്രശ്നം. ഇത് ഉപയോക്താക്കളുടെ ഡാറ്റ ചോർത്താനും ഡെവലപ്പർമാർക്ക് സാമ്പത്തിക നഷ്ടമുണ്ടാക്കാനും സാധ്യതയുണ്ട്.
ഗൂഗിളിന്റെ ജെമിനി എഐ സംവിധാനവുമായി ബന്ധപ്പെട്ട ഒരു വലിയ സുരക്ഷാ വീഴ്ച പുറത്തുവന്നതായി സൈബർ സുരക്ഷാ സ്ഥാപനമായ ക്ലൗഡ്സെക്ക് (CloudSEK) റിപ്പോർട്ട് ചെയ്തു. ആൻഡ്രോയ്ഡ് ആപ്പുകളിൽ ഉപയോഗിക്കുന്ന എപിഐ കീകളുടെ സംവിധാനത്തിലാണ് ഈ ഗുരുതര പിഴവ് കണ്ടെത്തിയിരിക്കുന്നത്. മുൻപ് ഒരു ഐഡന്റിഫയർ ആയി മാത്രം പ്രവർത്തിച്ചിരുന്ന എപിഐ കീകൾ, ജെമിനി എഐ ഇന്റഗ്രേഷൻ നടത്തിയതിന് ശേഷം ക്രെഡൻഷ്യൽ പ്രിവിലേജുകൾ നേടുന്നതാണ് പ്രശ്നത്തിന്റെ കേന്ദ്രം എന്നാണ് റിപ്പോർട്ടുകൾ.
ഗൂഗിൾ എപിഐ കീ എങ്ങനെയാണ് ജെമിനി എക്സ്പോഷർ ട്രിഗർ ചെയ്യുന്നത്?
ആൻഡ്രോയ്ഡ് ആപ്പുകളുടെ കോഡ്ബേസിലേക്ക് ചേർക്കാൻ സുരക്ഷിതമാണെന്ന് ഗൂഗിൾ കരുതിയ ചില പ്രത്യേക ഫോർമാറ്റിലുള്ള എപിഐ കീകൾ ജെമിനി ആപ്പിലേക്ക് സംയോജിപ്പിച്ചതിനുശേഷം പെട്ടെന്ന് ക്രെഡൻഷ്യൽ പ്രിവിലേജുകൾ നേടുന്നത് എങ്ങനെയെന്ന് ക്ലൗഡ്സെക്ക് ഒരു ബ്ലോഗ് പോസ്റ്റിൽ വിശദീകരിച്ചു. ജെമിനി എഐയുടെ ജെനറേറ്റീവ് ലാംഗ്വേജ് എപിഐ പ്രവർത്തനക്ഷമമാക്കിയാൽ, ഈ കീകൾക്ക് അധിക അനുമതികൾ ലഭിക്കുകയും ജെമിനിയുടെ എല്ലാ എൻഡ്പോയിന്റുകളിലേക്കും പ്രവേശനം ലഭിക്കുകയും ചെയ്യുന്നു. ഗൂഗിൾ ക്ലൗഡ് പ്രോജക്റ്റിൽ സമാനമായ ഒരു പിഴവ് ട്രഫിൾ സെക്യൂരിറ്റി കണ്ടെത്തിയിരുന്നു. ഈ കണ്ടെത്തലുകളെ അടിസ്ഥാനമാക്കിയാണ് ഈ സുരക്ഷാ പിഴവ്.
ഈ സാഹചര്യത്തിൽ, ആപ്പുകൾ ഡീകമ്പൈൽ ചെയ്യുന്ന ആർക്കും ഈ എപിഐ കീകൾ കൈവശപ്പെടുത്താൻ കഴിയും. ഇതുവഴി ഉപയോക്താക്കൾ ജെമിനിയുമായി പങ്കിടുന്ന ഡാറ്റകൾ, അതായത് ഡോക്യുമെന്റുകൾ, ചിത്രങ്ങൾ, ഓഡിയോ ഫയലുകൾ തുടങ്ങിയവ അപകടത്തിലാകാം. കൂടാതെ, എഐ സംഭാഷണങ്ങളുടെ കാഷ് ചെയ്ത വിവരങ്ങളും അനധികൃതമായി കൈവശപ്പെടുത്തപ്പെടാൻ സാധ്യതയുണ്ട്.
Related Articles
ക്ലൗഡ്സെക്കിന്റെ ബിവിജിൽ (BeVigil) പ്ലാറ്റ്ഫോം നടത്തിയ പരിശോധനയിൽ, ഏറ്റവും കൂടുതൽ ഇൻസ്റ്റാൾ ചെയ്ത 10,000 ആൻഡ്രോയ്ഡ് ആപ്പുകളിൽ നിന്ന് 22 ആപ്പുകളിൽ 32 ലൈവ് എപിഐ കീകൾ കണ്ടെത്തി. ഓയോ ഹോട്ടൽസ്, ഗൂഗിൾ പേ ഫോർ ബിസിനസ്, ടാബോ, അപ്നാ ജോബ് സെർച്ച് ആപ്പ്, എൽസ സ്പീക്ക് തുടങ്ങിയ പ്രശസ്ത ആപ്പുകളും ഇതിൽ ഉൾപ്പെടുന്നു. ഈ ആപ്പുകൾക്ക് ചേർന്ന് 500 മില്യൺത്തിലധികം ഡൗൺലോഡുകൾ ഉണ്ടെന്നത് ആശങ്ക വർധിപ്പിക്കുന്നു.
ഡെവലപ്പർമാർക്കും അപകടം
ഡെവലപ്പർമാർക്കുള്ള അപകടവും വലുതാണ്. ജെമിനി എപിഐ ഉപയോഗം സൗജന്യമല്ലാത്തതിനാൽ, അനധികൃത ഉപയോഗം വൻ സാമ്പത്തിക നഷ്ടങ്ങൾക്ക് കാരണമാകും. കൂടാതെ, ഉപയോക്തൃ ഡാറ്റ ചോർന്നാൽ നിയമപരമായ പ്രശ്നങ്ങളും ഉയർന്നേക്കാം. ഈ പ്രശ്നം പരിഹരിക്കാൻ, എപിഐ കീകൾ മാറ്റുക, അവയെ സർവീസ് അടിസ്ഥാനത്തിൽ നിയന്ത്രിക്കുക, മൊബൈൽ ആപ്പുകളിൽ ഹാർഡ്കോഡ് ചെയ്യാതിരിക്കുക എന്നിവ ക്ലൗഡ്സെക്ക് നിർദ്ദേശിക്കുന്നു. ഉപയോക്താക്കൾക്കും ജാഗ്രത വേണമെന്നും, വിശ്വസനീയമായ പ്ലാറ്റ്ഫോമുകളിൽ മാത്രമേ ജെമിനി സേവനങ്ങൾ ഉപയോഗിക്കാവൂ എന്നും വിദഗ്ധർ മുന്നറിയിപ്പ് നൽകുന്നു.
