Microsoft Azure OpenAI Service

Основные статьи:

• SaaS - История. Философия. Драйверы развития
• Большие данные (Big Data)
• Data mining Интеллектуальный анализ данных

2025: Облачный сервис от Microsoft с OpenAI оказался дырявым. Управление им могут перехватить хакеры

ФСТЭК в десятых числах августа разослала предупреждение об обнаружении критической уязвимости BDU:2025-09637^[1] в облачной платформе Azure OpenAI. Уровень опасности указан максимальный – 10 баллов по CVSS версии 3.1. Уязвимость подтверждена производителем, который уже выпустил для нее исправление. Специалисты ФСТЭК рекомендуют его установить максимально оперативно.

𝓲

Фото: Freepik

Уязвимость связана с недостаточной проверкой поступающих запросов. Она относится к категории серверной фальсификации запросов (Server-Side Request Forgery – SSRF или CWE-918). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии на сервере с помощью подмены ссылки при взаимодействии с сервером и получить доступ к токенам аутентификации.

BDU:2025-09637 представляет собой критическую уязвимость повышения привилегий (Elevation of Privilege) в сервисе Azure OpenAI от Microsoft, основанную на подделке серверных запросов (SSRF), – пояснил TAdviser ситуацию с уязвимостью Станислав Савченко, ведущий эксперт базы знаний компании «СайберОК». – Она затрагивает облачные сервисы Azure OpenAI, позволяя злоумышленникам манипулировать серверными запросами для доступа к внутренним ресурсам, таким как метаданные экземпляров Azure, и потенциально получать токены или credentials для эскалации прав. Это может привести к несанкционированному доступу к чувствительным данным, моделям ИИ и административным интерфейсам.

То есть злоумышленники могут с помощью данной уязвимости перехватить управление облачными ресурсами Azure и получить доступ к данным, которые компании хранят в облачных приложениях. В частности, под угрозой информация, накопленная в ИИ-моделях OpenAI, и интерфейсы управления сервисами для работы с ними.

В первую очередь, уязвимость BDU:2025-09637 касается тех организаций, которые активно используют платформы Microsoft для облачной инфраструктуры и приложений, особенно в рамках корпоративных решений и сервисов на базе ИИ, – предупредила читателей TAdviser Екатерина Едемская, инженер-аналитик компании «Газинформсервис». – К таким компаниям могут относиться крупные банки, государственные учреждения, операторы телекоммуникационных услуг, а также организации, работающие в области финансовых технологий и электронной коммерции. В случае успешной эксплуатации уязвимости злоумышленники могут получить несанкционированный доступ к критическим данным, а также повысить свои привилегии, что приведет к компрометации безопасности систем и потенциальной утечке информации.

Екатерина Едемская также отмечает, что уязвимость сама по себе не предоставляет возможности для проведения массовых атак. Главная угроза заключается в том, что она позволяет злоумышленникам действовать скрытно и целенаправленно. Для организации более масштабных атак злоумышленники могут использовать эту уязвимость как часть комплексной стратегии.

Полностью защитить облачную платформу невозможно, так как многое зависит от самого провайдера услуг, – посетовал TAdviser на сложность защиты облаков Александр Самсонов, ведущий эксперт отдела разработки и тестирования компании «Код безопасности». – Для рассматриваемой уязвимости выпущены официальные исправления от Microsoft – при первой возможности их необходимо установить. Также настоятельно рекомендуется регулярно обновлять используемое ПО. Дополнительно следует проводить мониторинг аномальной активности, особенно необычных запросов к внутренним ресурсам от сервисов Azure OpenAI. При наличии возможности стоит применять сетевые правила для ограничения исходящего трафика от Azure OpenAI.

2021: Предоставление доступа к языковым моделям GPT-3 от OpenAI

2 ноября 2021 года Microsoft анонсировала Azure OpenAI Service – сервис, который предоставит облачным клиентам компании доступ к языковым моделям OpenAI GPT-3. Они смогут воспользоваться мощными ИИ-алгоритмами в сочетании с корпоративными возможностями Azure, такими как безопасность, конфиденциальность данных и гибкое масштабирование.

Решение может применяться в большом спектре сценариев, от преобразования естественного языка в программный код до обобщения больших объемов текста и генерации ответов на вопросы. Например, спортивная франшиза, которая разрабатывает собственное приложение для взаимодействия с фанатами во время матчей, может использовать возможности сервиса для быстрого преобразования потока информации, полученной от комментаторов матча, в короткие выжимки самых ярких моментов игры. А маркетинговая команда может использовать возможности алгоритмов для оперативной генерации оригинального контента при создании постов в социальных сетях или блогах.Astra Configuration Manager: «управляющий» парком корпоративных устройств 7.8 т

Microsoft предложит инструменты для фильтрации и модерации содержания запросов и ответов пользователей, чтобы помочь моделям эффективно работать в каждом отдельном приложении. Клиенты смогут настраивать эти фильтры в соответствии со своими бизнес-потребностями, поскольку языковой стиль, подходящий, к примеру, для персонажа видеоигры, может отличаться от того, который предназначен для руководителей компаний.

Чтобы обеспечить корректное и этичное использование алгоритмов, сначала сервис Azure OpenAI Service будет доступен только по приглашениям. Первыми клиентами станут компании, которые планируют реализовать четко определенные сценарии использования, включающие этические принципы и стратегии использования ИИ. Сотрудничество с этими первыми клиентами поможет Microsoft увидеть, как эти меры работают на практике, и внести коррективы при необходимости. Помимо этого, Microsoft также предоставит клиентам возможность мониторинга для выявления возможных случаев злоупотребления или неправильного использования, чтобы помочь им убедиться, что их собственные пользователи применяют технологию по назначению.

Инициатива стала продолжением сотрудничества Microsoft и OpenAI. Ранее Microsoft разработала облачный суперкомпьютер для обучения массивных ИИ-моделей в сотрудничестве и эксклюзивно для OpenAI. А весной 2021 года Microsoft объявила о первом использовании GPT-3 в своем продукте: компания интегрировала алгоритм в платформу для low-code разработки Power Apps, что позволяет создавать приложения без глубоких знаний кода или формул.

Примечания