Como parte de las actividades de su área de investigación, Tenable descubre una brecha de ciberseguridad en IA de Microsoft. Se trata del asistente basado en inteligencia artificial de Azure Health Bot, que está enfocado en áreas de salud y puede afectar a usuarios del cloud.
En caso de ser explotada la brecha, se puede activar un agente malicioso que puede obtener capacidades de gestión para recursos de clientes de dicha nube. De hecho, Azure Health Bot es una plataforma cloud, que permite a los profesionales de la salud crear asistentes de IA.
“Con base en el nivel de acceso otorgado, es probable que haya sido posible el movimiento lateral hacia otros recursos, en los entornos del cliente. Estas vulnerabilidades involucran un fallo a nivel de arquitectura”, dijo Jimi Sebree, ingeniero de Investigación Senior en Tenable.
Es así como, Tenable descubrió una brecha de ciberseguridad en IA de Microsoft, que puede vulnerar información variable, esto depende de la configuración de bot. Por ello, dicha falla crea múltiples problemas de escalamiento de privilegios, esto dentro del Azure Health Bot.
Cabe destacar, que el servicio permite a los proveedores de salud crear y desplegar chatbots orientados a los pacientes, para manejar flujos de trabajo administrativos. Todo esto dentro del entorno, así los chatbots tendrán acceso a cierta información sensible para los pacientes.
Se descubre brecha de ciberseguridad en IA de Microsoft por Tenable
Una de las principales vulnerabilidades de la brecha, es la falsificación de solicitudes del lado del servidor (SSRF). Estos problemas permitieron a los investigadores acceder a este servicio interno de metadatos (IMDS), con eso obtener tokens de acceso para la gestión de recursos.
De esta manera, el área de investigación de Tenable descubrió una brecha de ciberseguridad en la IA de Microsoft. Esta situación se compartió con el proveedor, sobre los problemas que se pueden generar, en relación con los datos de alta sensibilidad a los que se puede acceder.
“Dicha brecha es subyacente del servicio de chatbot, en lugar de los esquemas de IA para sí mismos. Esto resalta la importancia continua de los mecanismos tradicionales de seguridad de aplicaciones web y en la nube, en esta era de chatbots basados en IA”, compartió Sebree.
Por su parte, Microsoft confirmó que se aplicaron mitigaciones para este tipo de situaciones en todos los servicios y regiones afectadas. Es por ello, que no se requiere ninguna acción de la base de usuarios de dicha plataforma, además el proveedor comparte contenido en línea.
Con el descubrimiento de la brecha de ciberseguridad en la IA de Microsoft de Tenable, este último da seguimiento a sus actividades de investigación. Finalmente, se debe destacar que el ingeniero responsable, se involucró en la mayoría de todos los proyectos de investigación.
