Hozzáférések
Jogi AI-platform: egy ügyvédi iroda iratai bejelentkezés nélkül
Egy független kutató 2025 októberében azt találta, hogy a Filevine jogi AI-platformon bejelentkezés nélkül teljes hozzáférést lehetett szerezni egy ügyvédi iroda dokumentumtárához. A „confidential” szóra közel 100 000 találat jött.
A Filevine ügyvédi irodáknak szóló ügy- és dokumentumkezelő platform, amely mesterséges intelligenciát is használ; a cég értéke több mint egymilliárd dollár. Az irodák rengeteg bizalmas iratot bíznak rá. Egy független biztonsági kutató 2025 októberében azt vizsgálta, hogyan védi ezeket – ügyfélfiók nélkül, csak azzal, ami kívülről látszik.
Megtalálta a Filevine egyik, egy ügyvédi irodához tartozó aloldalát, és a weboldal kódjából kiolvasta egy programozói felület (API) címét. Erre egyszerű kérést küldött, és bejelentkezés nélkül is választ kapott. A válaszban egy hozzáférési kulcs is volt: teljes jogú adminisztrátori kulcs az iroda Box nevű felhőtárhelyéhez, vagyis a teljes dokumentumtárához, a naplókkal és a felhasználói adatokkal együtt. Amikor a „confidential” (bizalmas) szóra keresett, közel 100 000 találatot kapott, és ekkor abbahagyta a vizsgálatot.
A kutató szerint a kulccsal az iroda összes fájlja letölthető lett volna, köztük egészségügyi adatok, belső feljegyzések, bérlisták és bírósági végzéssel védett dokumentumok is lehettek. Október 27-én jelezte a hibát a Filevine-nak, amely november 21-én megerősítette, hogy kijavította. A cég közlése szerint csak ez az egy ügyvédi iroda volt érintett, más ügyfele nem, nem éles példányról volt szó, és a hiba nem az egész platformot érintette.
Mit tanulhatunk belőle?
Egy AI-val működő iratkezelő gyakran nemcsak a saját adatait őrzi, hanem más szolgáltatásokhoz – felhőtárhelyhez, levelezéshez – is hozzáférési kulcsot kap; ha ez kiszivárog, minden egyszerre elérhetővé válik. Az ilyen eszközök sok munkát levesznek a vállunkról, ha a hozzáférésük arányos a feladattal. A Confiellában a modell nem fér hozzá levelekhez, fájlokhoz vagy a webhez: csak azt a kérést kapja meg, amelyet a felhasználó átnézett és jóváhagyott. Mielőtt egy AI-eszközt összekötünk az iratainkkal, érdemes megkérdezni, pontosan mihez fér hozzá, és szűkíteni arra, amire a feladathoz szükség van.
Források
- alexschapiro.com: How I Reverse Engineered a Billion-Dollar Legal AI Tool and Found 100k+ Confidential Files
- GIGAZINE: It was discovered that a vulnerability in a legal assistance AI tool allowed outsiders to access nearly 100,000 confidential files
A cikk a felsorolt nyilvános források alapján készült. Ha hibát talál benne, írjon nekünk: [email protected]