Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
A IA foi o assunto mais comentado de 2023 – para contextualizar, o ChatGPT se tornou o artigo mais visualizado da Wikipédia em 2023 – e tem sido implementada em fases de teste ou produção por inúmeras organizações em todo o mundo. Se essas organizações já perceberam os benefícios da IA ou ainda estão explorando seu potencial, isso é irrelevante para sua rápida ascensão em um período relativamente curto.
No entanto, com o surgimento da IA — e, em particular, dos grandes modelos de linguagem —, surgiram preocupações com a segurança. Por meio de interfaces diretas na web ou chamadas de API, foram identificados vários vetores de ataque capazes de comprometer os modelos de linguagem, os dados de treinamento ou os dados dos usuários. Os riscos se ampliaram quando a IA foi integrada a aplicativos de terceiros.
Ao final de 2023, pesquisadores de segurança descobriram outra vulnerabilidade em potencial nas plataformas de IA: a exploração de tokens da API do Hugging Face expostos publicamente. Esse problema lembra os buckets públicos da Amazon sem segurança de antigamente (tão 2022!). Descobriu-se que muitas organizações de destaque, incluindo a Meta e outras empresas de IA, ou codificaram esses tokens diretamente em repositórios de código acessíveis ao público ou os publicaram em vários sites. A análise revelou que esses tokens forneciam acesso de leiturae, mais importante ainda, escrita aos dados subjacentes, incluindo os conjuntos de dados usados para treinar modelos de IA. A manipulação desses dados poderia resultar na inserção de conteúdo falso, enganoso ou malicioso no conjunto de treinamento, afetando subsequentemente aplicativos e portais voltados para o usuário. Além disso, é fundamental reconhecer a importância dos dados de treinamento para empresas de IA; o uso indevido desses tokens poderia levar à perda ou corrupção desses dados de maneiras difíceis de detectar.
A Hugging Face reconheceu o problema com os tokens expostos, os invalidou e está trabalhando na implementação de mecanismos de controle mais refinados para o uso de tokens no futuro.
Essa situação apresenta semelhanças com outros ataques à cadeia de suprimentos, nos quais credenciais públicas são expostas em repositórios de código, o que motivou iniciativas como o recurso “Secret Scanning” do GitHub. Isso ressalta um princípio fundamental: o manejo inadequado de segredos, como a publicação de credenciais, atrai escrutínio e uso indevido. No entanto, essa falha continua ocorrendo.
Portanto, é essencial tratar os tokens de acesso como qualquer outra credencial confidencial: mantenha-os em sigilo e protegidos. Para pipelines de CI/CD, considere o uso de variáveis de ambiente ou outros métodos seguros que não envolvam a codificação direta de segredos no código do seu projeto. No mínimo, certifique-se de que esses arquivos sejam adicionados à lista de ignorados do Git.
Por fim, para proteger seus projetos Java contra pacotes potencialmente comprometidos, confie sempre em fontes confiáveis e verificadas, como o SecureChain for Java para ajudá-lo a proteger seus aplicativos.
