VS-chef cyberbeveiliging uploadt vertrouwelijke documenten naar ChatGPT
De waarnemend directeur van het Cybersecurity and Infrastructure Security Agency (CISA), het belangrijkste Amerikaanse cyberbeveiligingsagentschap, was vorig jaar verantwoordelijk voor een beveiligingsincident. Madhu Gottumukkala uploadde gevoelige overheidsdocumenten naar een openbare versie van ChatGPT. Volgens informatie die Politico van vier DHS-functionarissen kreeg, activeerde deze actie verschillende geautomatiseerde beveiligingswaarschuwingen. Deze sensoren zijn ontworpen om diefstal of onbedoelde openbaarmaking van overheidsmateriaal van federale netwerken te voorkomen. Naar verluidt sloegen de systemen alleen al in de eerste week van augustus meerdere keren alarm.
Gottumukkala gebruikte een speciale vrijstelling om toegang te krijgen tot de AI-chatbot, die hij kort na zijn aantreden in mei had aangevraagd bij de Chief Information Officer van CISA. Op dat moment was de app voorbehouden aan gewone medewerkers van het Department of Homeland Security. Hoewel de geüploade bestanden geen geclassificeerde documenten waren, waren het wel contractdocumenten met de vermelding "For Official Use Only". Deze aanduiding duidt op gevoelige informatie die niet bedoeld is om openbaar gemaakt te worden.
Het incident is vooral controversieel vanwege de technische aard van de gebruikte tool. Invoer in de openbare versie van ChatGPT wordt doorgestuurd naar ontwikkelaar OpenAI en kan theoretisch gebruikt worden om het model verder te trainen of om te reageren op vragen van andere gebruikers. Daarentegen zijn officieel goedgekeurde AI-tools die door het Ministerie van Veiligheid worden gebruikt, zoals het interne "DHSChat", zo geconfigureerd dat geen gegevens of zoekopdrachten de beschermde federale netwerken verlaten. OpenAI stelt dat de dienst nu meer dan 700 miljoen actieve gebruikers heeft, wat het risico van mogelijke blootstelling benadrukt.
Ondertussen probeert CISA de zaken glad te strijken. Woordvoerster Marci McCarthy zei dat het gebruik was goedgekeurd, van korte duur was, beperkt was en plaatsvond onder veiligheidsmaatregelen. Ze sprak ook de tijdlijn tegen en zei dat de directeur de tool midden juli voor het laatst had gebruikt. Dit is in tegenspraak met verklaringen van ambtenaren dat beveiligingssensoren begin augustus nog steeds uploads registreerden. Een intern onderzoek probeert nu vast te stellen of het incident daadwerkelijk schade heeft veroorzaakt. Het incident maakt deel uit van een reeks controverses rond Gottumukkala, die naar verluidt eerder gezakt was voor een leugendetectortest voor contraspionage.
