ニュース

Dec 20, 2023

GPT を海賊版にしている人

Le persone su Discord nel subreddit r/ChatGPT stanno promuovendo OpenAI rubato

チャットログ、スクリーンショット、インタビューによると、r/ChatGPT サブレディットの Discord の人々は、他人のコードからスクレイピングされた盗まれた OpenAI API トークンを宣伝しています。 盗まれた API キーを使用するユーザーは、盗まれた OpenAI アカウントに使用料を徴収しながら GPT-4 を実装できます。

あるケースでは、何者かが、使用量上限15万ドル相当の貴重なOpenAIアカウントへのアクセスを盗み、Webサイトや2番目の専用Discordサーバーなどを介して、そのアクセスを他のメンバーに無料で提供している。 そのサーバーには 500 人を超えるメンバーがいます。

GPT-4 などの OpenAI の大規模言語モデルを使用したい人は、同社でアカウントを作成し、そのアカウントにクレジット カードを関連付ける必要があります。 次に、OpenAI は、OpenAI のツールにアクセスできるようにする固有の API キーをユーザーに提供します。 たとえば、アプリ開発者はコードを使用して、ChatGPT または他の言語モデルをアプリに実装できます。 API キーを使用すると、これらのツールにアクセスできるようになり、OpenAI は使用量に応じて料金を請求します。「API キーは秘密であることに注意してください。他のユーザーと共有したり、クライアント側のコード (ブラウザー、アプリ) で公開したりしないでください。 「OpenAIはユーザーに警告します。 キーが盗まれたり、公開されたりすると、誰でもその人のアカウントに料金が加算され始める可能性があります。

海賊版がアクセス権を獲得した方法は、OpenAI の有料ユーザーが考慮する必要があるセキュリティ上の考慮事項を浮き彫りにしています。 スクリーンショットによると、この人物は、人々がコーディングプロジェクトで共同作業できるようにするウェブサイトをスクレイピングしたと述べている。 多くの場合、Replit と呼ばれるサイトでホストされているコードの作成者は、公開されているコードに OpenAI API キーが含まれていて、サードパーティに公開されていることに気づいていなかった可能性があります。

「このようなクレイジーな行為をしたにもかかわらず、私のアカウントはまだ禁止されていない」と、Discodteheというハンドル名で活動する海賊は水曜日、r/ChatGPT Discordサーバーに書き込んだ。

人々がどのように AI を悪意を持って使用しているかについて他に何か知っていますか? あなたからの御一報をお待ちしています。 仕事以外の電話やコンピュータを使用して、Signal (+44 20 8133 5190)、Wickr (josephcox) で Joseph Cox に安全に連絡するか、[email protected] にメールで連絡することができます。

過去数日間、Discottehe による少なくとも 1 つの盗まれた OpenAI API キーの使用が増加しているようです。 彼らは、時間の経過とともに増加するアカウントの使用状況を示す複数のスクリーンショットを共有しました。 最近のスクリーンショットでは、今月の使用量が 150,000 ドル中 1,039.37 ドルであることが示されています。

「十分な人数がいれば、全員を禁止しないかもしれない」とディスコデヘ氏は水曜日に書いた。

ただし、Discodtehe は公開された API キーをさらに長期間スクレイピングしていたようです。 3月のあるDiscordメッセージには、「先日、repl.itをスクレイピングしたところ、動作するopenai APIキーが1000個以上見つかった」と書かれていた。

「完全なスクレイピングさえ行っておらず、結果の約半分だけを調べただけです」と彼らは付け加えた。

Replit は、共同でコードを作成するためのオンライン ツールです。 ユーザーはデフォルトで公開される、Replitが「Repls」と呼ぶプロジェクトを作成できると、Replitの法務顧問兼事業開発責任者のCecilia Ziniti氏が電子メールでMotherboardに語った。 Ziniti氏は、ReplitはSecretと呼ばれるAPIキーを処理するためのメカニズムを提供していると付け加えた。

「トークンをSecretsに保存するのではなく、誤ってReplのコードにハードコードしてしまう人もいる。最終的には、ユーザーは自分のトークンを守る責任があり、公開コードにトークンを保存すべきではない」とZiniti氏は述べた。

Ziniti氏によると、同社はプロジェクトをスキャンして、Githubからのものなど、人気のあるAPIキータイプを探しているという。 Motherboard からこの新しい API キーの問題について警告を受けた後、Ziniti 氏は、「今後、Replit はトークン スキャン システムを見直し、ユーザーが誤って ChatGPT トークンを公開することについて確実に警告する予定です。」と述べました。

「十分な人数がいれば、全員を禁止しないかもしれない。」

ChatGPTコミュニティのメンバーはMotherboardに対し、Discotteheは「絶対にやめるべきだ」と語った。

「この業界は着実に成長しているので、遅かれ早かれ犯罪が起こるのは当然ですが、これほど急速に問題化していることに驚いています。企業アカウントの盗難は確かに悪いことですが、私個人としては彼らが間違って鍵を投稿した一般人を喜んで強奪するやり方の方が気になる」と彼らは付け加えた。 マザーボードは、他のコミュニティメンバーからの報復を受けないよう、その人物に匿名性を与えました。

無料の GPT-4 アクセスを提供するサイトのスクリーンショット。 画像: マザーボード。

Discottehe は、単にトークンをスクレイピングするだけではなく、さらに一歩進んだものでした。 Motherboard が閲覧したチャット ログによると、ChimeraGPT と呼ばれる別の Discord サーバーは、「GPT-4 および GPT-3.5-turbo への無料アクセス」を提供しています。 Discodtehe 氏は別のメッセージで、ChimeraGPT が r/ChatGPT Discord サーバーで議論された盗まれた API キーと同じ組織を使用していると述べました。 Motherboard は、無料の API キーを取得するために ChimeraGPT の使用を推奨する Github リポジトリを見つけました。 この記事の執筆時点では、このサーバーには 531 人のメンバーがいます。

Discodtehe 氏は別のメッセージで、人々が OpenAI API への無料アクセスをリクエストできる Web サイトも作成したと述べました。 (皮肉なことに、このサイトはReplitでもホストされています。公開の直前にサイトはアクセス不能になりました)。

このサイトではユーザーに、電子メール アドレスを入力し、OpenAI から送信されたリンクをクリックして招待を受け入れ、デフォルトの請求先住所を Discodtehe が使用していると思われる組織「weeeee」に設定するよう指示しています。

Web サイトは「無料の gpt-4 API アクセスをお楽しみください」と締めくくっています。 スクリーンショットの1つによると、水曜日の時点で、OpenAIアカウントにリンクされている組織には27人のメンバーがいた。 別の関係者によると、木曜日までにその数は40人に急増したという。

「私のアカウントは、このようなひどいことをした後でもまだ禁止されていません。」

ディスコデヘ氏はコメントの要請に応じなかった。 「Dawn」と呼ばれるr/ChatGPT Discordサーバーの管理者はマザーボードに対し、ボランティアのMODがすべてのプロジェクトをチェックすることはできないため、「ユーザーに対して禁止令を発行している」と語った。

OpenAIの広報担当者は電子メールでMotherboardに、「当社は大規模なオープンリポジトリの自動スキャンを実施し、発見されたOpenAIキーをすべて取り消します。ユーザーには、APIキーが生成された後は公開しないことをお勧めします。ユーザーが自分のAPIキーが公開されている可能性があると考えた場合は、」と述べた。 、すぐにキーをローテーションするよう促します。」

しかし、コミュニティのメンバーは、「認証プロセスの仕組みについては、OpenAI にも多少の責任があると思いますが」と述べました。

「Google Cloud アカウントへの API アクセスがこのように盗まれたという話は聞きません。Google の認証手順が優れているからです。OpenAI と Microsoft の統合により、今後ユーザーのセキュリティが向上することを願っています」と彼らは述べています。

ディスコデヘ氏は別のメッセージで、この利用法を「ただの借用」と呼んでいる。 彼らは、使用量は「見積もりだけであり、請求書はまだ支払われていない」と書いています。

「最終的にはOpenAIが費用を負担することになるだろう」と彼らは述べた。

OpenAIは、請求額を負担するかどうかを尋ねる追加の質問にはすぐには回答しなかった。

サイバーセキュリティ ポッドキャスト CYBER を購読してください。 Twitchチャンネルに登録してください。

サインアップすると、利用規約とプライバシー ポリシーに同意し、マーケティング プロモーション、広告、スポンサー付きコンテンツを含む電子通信を Vice Media Group から受け取ることに同意したものとみなされます。