Дослідники безпеки отримали доступ до листування чатбота McDonald’s з кандидатами на роботу. Фото: Depositphotos / Cкриншот Ієна Керолла та Сема Каррі
Оказывается, искусственный интеллект, несмотря на гигантскую базу знаний, может быть не слишком изобретательным в выборе пароля — как произошло в случае с чат-ботом в McDonald’s.
Если вы планируете на днях устроиться на работу в McDonald’s, есть большая вероятность того, что вам придется поговорить с Оливией — ботом, который перенял на себя в компании обязанности HR-менеджера.
Оливия проверяет кандидатов, запрашивает их контактную информацию и резюме, а также направляет на личностный тест, иногда доводя людей до «безумия» тем, что неправильно интерпретирует ответы на самые простые вопросы. Однако это не главная беда — бот работает на платформе Paradox.ai, которая, как оказалось имеет абсурдно базовые недостатки безопасности.
В среду исследователи кибербезопасности Иен Кэрролл и Сэм Карри сообщили, что нашли простые методы взлома серверной части платформы чат-ботов на сайте McHire.com, который многие франчайзи McDonald’s используют для обработки заявок на работу. Как оказалось, административный интерфейс принимал стандартные логин и пароль «123456», тогда как внутренний API имел уязвимость типа IDOR (Insecure Direct Object Reference), которая позволяла получить доступ к любым чатам или контактам.
Данные, по словам исследователей, содержат до 64 млн записей, включая имена, адреса электронной почты и номера телефонов кандидатов.
Кэрол говорит, что взялся проверить платформу, потому что его заинтересовало решение McDonald’s тестировать работников через чат-бота, что напоминало несколько антиутопический процесс найма.
«Я просто подумал, что это довольно уникальный антиутопический процесс по сравнению с обычным процессом найма, не так ли? И именно это побудило меня исследовать этот вопрос глубже», — говорит Кэрролл. «Поэтому я начал подавать заявки на работу, и уже через 30 минут мы получили полный доступ практически к каждой заявке, которая когда-либо поступала в McDonald’s за многие годы».
Paradox.ai опубликовали сообщение в блоге с отчетом Кэрола и Карри, отметив, что это «только часть записей» и они не были доступны «ни одной третьей стороне», за исключением исследователей. Компания добавила, что вводит программу вознаграждения за обнаружение уязвимостей.
McDonald’s тем временем признал вину за Paradox.ai в своем заявлении:
«Мы разочарованы этой неприемлемой уязвимостью стороннего поставщика Paradox.ai. Как только мы узнали о проблеме, мы немедленно поручили ее устранить. Это произошло в тот же день, когда о проблеме было сообщено. Мы серьезно относимся к нашим обязательствам по кибербезопасности и будем продолжать требовать от сторонних поставщиков ответственности за соблюдение наших стандартов защиты данных».
Ранее мы рассказывали, о предприимчивом айтишнике, который работал в четырех ИИ-стартапах одновременно, пока руководители не обнаружили, что нанимали одного и того же человека, а также о том, как студенты обходят детекторы ИИ… искусственным интеллектом — потому что те обозначают реальные тексты, как сгенерированные.
Контент сайту призначений для осіб віком від 21 року. Переглядаючи матеріали, ви підтверджуєте свою відповідність віковим обмеженням.
Cуб'єкт у сфері онлайн-медіа; ідентифікатор медіа - R40-06029.