La agencia encargada de la ciberseguridad de EE.UU. (CISA) se ha convertido en el centro de atención esta semana tras confirmarse que varios documentos internos fueron subidos accidentalmente a la versión pública de ChatGPT.
Madhu Gottumukkala, director interino de CISA, compartió documentos marcados como “for official use only” (para uso oficial únicamente) con el asistente de OpenAI en julio y agosto del año pasado. Este error se produjo poco después de su nombramiento ya que este se incorporó en su puesto en mayo, cuando obtuvo permiso especial.
Aunque los documentos no eran clasificados formalmente, sí que contenían información sensible de contratación y manejo interno del Departamento de Seguridad Nacional (DHS). Así, pues se trata de una falla de seguridad operativa significativa en una agencia encargada de defender las redes federales contra adversarios estatales de Rusia, China y otras naciones hostiles.
Los sistemas automatizados de prevención de pérdida de datos (DLP) detectaron estas cargas y generaron varias alertas internas, lo que llevó a una revisión y discusiones con altos cargos legales y de TI dentro de CISA.
El asesor general interino Joseph Mazzara, el director de información Antoine McCord y el director de información de CISA, Robert Costello, iniciaron evaluaciones formales para evaluar el daño potencial a la postura de seguridad del gobierno.
Posteriormente, el asesor jurídico principal de CISA, Spencer Fisher, se reunió con Gottumukkala para reforzar los procedimientos adecuados de manejo de material sensible pero no clasificado y revisar los protocolos federales de protección de datos, según informa Cyberpress.
El Departamento de Seguridad Nacional ha mantenido que el acceso de Gottumukkala a ChatGPT era temporal y limitado bajo excepciones autorizadas.
Los analistas han señalado que el incidente de CISA con ChatGPT refleja más un problema de gobernanza y cultura de seguridad que un fallo técnico aislado. Subir documentos sensibles a una IA pública muestra la falsa sensación de seguridad que puede generar el uso de herramientas de inteligencia artificial sin restricciones claras, incluso entre altos cargos.
Lo que es público puede hacerse público
Hay que recordar que la versión pública de ChatGPT no está diseñada para el manejo de información sensible de entidades gubernamentales o corporativas.
Al usarla los datos ingresados pueden permanecer en los servidores de OpenAI, incluso si no se publican abiertamente, y podrían formar parte de datos utilizados para optimizar los modelos de lenguaje si no se configuraron exclusiones expresas.
Además, la plataforma tiene más de 700 millones de usuarios activos, amplificando teóricamente la superficie de exposición de cualquier dato sensible.
Deja una respuesta