Microsoft ha tomado acciones legales contra un grupo que, según la empresa, desarrolló y utilizó herramientas para eludir las medidas de seguridad de sus productos de inteligencia artificial en la nube. En una demanda presentada en diciembre en el Tribunal de Distrito de EE. UU. para el Este de Virginia, Microsoft acusa a diez personas no identificadas de haber utilizado credenciales de clientes robadas y software diseñado a medida para acceder de manera ilegal al Azure OpenAI Service, un servicio gestionado por Microsoft que utiliza tecnologías de OpenAI, creador de ChatGPT.
En la demanda, Microsoft afirma que estos individuos violaron varias leyes, incluyendo la Ley de Fraude y Abuso Informático y la Ley de Derechos de Autor del Milenio Digital, al acceder y utilizar ilegalmente el software y los servidores de Microsoft para crear contenido “ofensivo” y “dañino”. Sin embargo, la empresa no proporcionó detalles específicos sobre el contenido abusivo generado.
Microsoft busca una orden judicial y compensación por daños. En la demanda, la compañía indica que en julio de 2024 descubrió que se estaban utilizando credenciales de clientes del Azure OpenAI Service, específicamente claves API, para generar contenido que violaba la política de uso aceptable del servicio. A través de una investigación, Microsoft determinó que estas claves API habían sido robadas de clientes que pagaban por el servicio.
La demanda menciona que la forma exacta en que los acusados obtuvieron las claves API es desconocida, pero parece que han estado robando sistemáticamente claves API de múltiples clientes de Microsoft. Microsoft sostiene que los acusados utilizaron claves API robadas del Azure OpenAI Service de clientes en EE. UU. para crear un esquema de “hacking como servicio”. Para llevar a cabo este esquema, los acusados desarrollaron una herramienta llamada de3u y software para procesar y dirigir las comunicaciones entre de3u y los sistemas de Microsoft.
La herramienta de3u permitía a los usuarios aprovechar las claves API robadas para generar imágenes usando DALL-E, uno de los modelos de OpenAI disponibles para los clientes del Azure OpenAI Service, sin necesidad de escribir su propio código. Además, de3u intentó evitar que el servicio de Azure OpenAI revisara los comandos utilizados para generar imágenes, lo que puede ocurrir si el texto contiene palabras que activan el filtrado de contenido de Microsoft.
Microsoft también informa que el tribunal le ha autorizado a incautar un sitio web que era “fundamental” para las operaciones de los acusados, lo que le permitirá recopilar evidencia y desmantelar la infraestructura técnica que encuentren. La empresa ha implementado “contramedidas” y “adicionales medidas de seguridad” en el Azure OpenAI Service para abordar la actividad observada.
