マイクロソフトのAIチーム、設定ミスで社内データ38TBを誤公開

オープンソースコミュニティでモデルを共有することはAI研究の日常ですが、足元から機密データがダダ漏れになっていた事態が発覚しました。

クラウドセキュリティ企業のWizは、MicrosoftのAI研究部門がGitHub上で画像認識モデルを公開する際、誤って38TBもの内部機密データを公開状態にしていたと報告しました。

流出したデータは広範囲に及びます。Microsoft従業員2名のPCの完全なバックアップ、社内サービスのパスワード、秘密鍵、さらには数百人の従業員による3万件以上のMicrosoft Teamsチャット履歴が含まれていました。

3年間「フルアクセス」のまま放置

原因はダウンロードリンクの権限設定ミスにありました。研究チームはGitHubのリポジトリ内で、モデルをダウンロードするためのAzure StorageのURLを案内していました。

このリンクには、Azure上で共有を容易にするSAS（Shared Access Signature）トークンが使われていました。

しかし、特定ファイルのみを読み取り専用にするのではなく、ストレージアカウント全体に対してフルコントロール権限が与えられていました。誰でもデータを閲覧できるだけでなく、既存ファイルの削除や改ざん、悪意あるコードの注入まで可能な状態でした。

さらに問題なのは、Wizの調査によると、この危険なURLが2020年からGitHub上に放置されていた点です。

トークン失効とGitHubスキャンの強化

Wizは6月22日にMicrosoftへ問題を報告し、Microsoftはその2日後の6月24日に該当トークンを失効させました。8月16日には組織的な影響調査を完了しています。

Microsoft Security Response Centerは、顧客データへの影響はなく、他の内部サービスへの脅威もなかったと発表しています。

再発防止策として、MicrosoftはGitHubのシークレットスキャン機能を拡張しました。公開リポジトリにおいて、過剰な権限や長すぎる有効期限を持つSASトークンを自動検知できるようにしたとのことです。

なぜ重要か

この問題は、AI開発の現場においてデータ管理の安全性が開発スピードに追いついていない実態を如実に示しています。

データサイエンティストや研究者は、膨大な学習データを手元で扱い、同僚やオープンソースコミュニティと頻繁に共有します。WizのCTOが指摘するように、大容量データを日常的にやり取りする現場では、アクセス権限の適切な管理と監視が極めて困難になりがちです。

私たちは、Teamsのチャット流出以上に、サプライチェーン攻撃のリスクが深刻だったと考えています。3年間フルコントロールのままだったということは、悪意ある人物がオープンソースモデルの重みファイルを不正なデータにすり替えることも可能だったわけです。

MicrosoftがGitHubの自動スキャンを拡充した対応は賢明ですが、根本的には開発者一人ひとりの設定ミスに依存する脆弱性です。AIプロジェクトを進める開発者は、モデルの精度向上だけでなく、配布用ストレージの権限分離を最優先で確認すべきです。