vibe-codedアプリがMETRのAPIキーを晒し、$600,000の無料クレジットを消費した
AI評価者は、3月の侵害でAPIキーが流出したと述べている。一方、5月のキャンペーンでは、理論的には機密性の高いモデルの出力を露出させる可能性のあるエンドポイントを探査した。METRは攻撃者がそのデータにアクセスしていないと考えている。
By RuntimeWire Staff · Published
Primary source: METR
なぜ重要なのか
独立したAI評価者は、有用性を維持するために特権的なモデルアクセスを必要とする。METRのニアミスは、一般的なデプロイ時のショートカットがそのアクセスを支える信頼を脅かし得ることを示している。
Elizabeth "Beth" Barnes (@bethmaybarnes)、METR の創設者兼CEOは、8月31日のセキュリティ更新で、外部の攻撃者が今年前半に発生した2件の事案でAI評価ツールの公開インフラ周辺の脆弱性を突いたことを明らかにした。盗まれたAPIキーの1つは、モデルクレジットを消費するために使用され、そのリスト価値は約$600,000に上った。
そのクレジットは匿名のモデル開発者から無償で提供されていたため、METRが$600,000の請求を負担したわけではない。とはいえ、3月の侵害は高額な管理上の失敗を露呈した。研究者がそのキーを、認証がオープンに失敗する "vibe-coded" エージェントダッシュボードを稼働させる個人のAmazon Web Servicesインスタンスに置いてしまい、数日間公開状態になっていたのだ。…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.