जब AI कमजोर कड़ी नहीं था: McHire आवेदक डेटा एक्सपोजर

क्या हुआ

जून 2025 में, सुरक्षा शोधकर्ताओं इयान कैरोल और सैम करी ने मैकडॉनल्ड्स के हायरिंग प्लेटफॉर्म McHire में एक भेद्यता श्रृंखला का खुलासा किया, जिसे Paradox.ai द्वारा बनाया गया था और मैकडॉनल्ड्स के अधिकांश फ्रेंचाइजी द्वारा उपयोग किया जाता था। वायर्ड और ब्लीपिंगकंप्यूटर की सार्वजनिक रिपोर्टिंग के अनुसार, उजागर डेटासेट में लगभग 64 मिलियन नौकरी आवेदक शामिल थे, जिनके नाम, ईमेल पते, फोन नंबर और चैट ट्रांसक्रिप्ट उन सभी के लिए सुलभ थे जिन्होंने शोधकर्ताओं द्वारा अपनाए गए मार्ग का अनुसरण किया था।

सबसे तेजी से प्रसारित होने वाली हेडलाइन ने इसे चैटबॉट "ओलिविया" पर प्रॉम्प्ट-इंजेक्शन हमले के रूप में प्रस्तुत किया। यह फ्रेमिंग गलत है। शोधकर्ताओं का कहना है कि उन्होंने पहले प्रॉम्प्ट इंजेक्शन की कोशिश की थी, और यह विफल रहा: बॉट को कड़े रूप से पूर्वनिर्धारित प्रतिक्रियाओं तक सीमित कर दिया गया था और इसमें कभी भी ऐसा बैकएंड डेटा नहीं था जिसे लीक करने के लिए धोखा दिया जा सके। समझौता का भाषा मॉडल से कोई लेना-देना नहीं था।

वास्तविक प्रवेश बिंदु McHire पर एक Paradox.ai प्रशासनिक लॉगिन पृष्ठ था, जो सार्वजनिक इंटरनेट से पहुंच योग्य था। शोधकर्ताओं ने एक परीक्षण खाते पर "123456" / "123456" क्रेडेंशियल का प्रयास किया, जो सार्वजनिक रिपोर्टिंग के अनुसार, 2019 से सक्रिय छोड़ दिया गया था। वे अंदर घुस गए।

एक बार अंदर जाने के बाद, आवेदक API पर एक क्लासिक असुरक्षित डायरेक्ट ऑब्जेक्ट रेफरेंस (IDOR) ने उन्हें एक संख्यात्मक ID बढ़ाने और किसी भी आवेदक का रिकॉर्ड खींचने दिया। मॉडल का कोई शोषण नहीं, कोई नई तकनीक नहीं, कोई ज़ीरो-डे नहीं। डिफ़ॉल्ट क्रेडेंशियल और एक अनप्रमाणित ऑब्जेक्ट रेफरेंस।

यह पैटर्न क्यों दोहराता रहता है

यहां दिलचस्प विफलता तकनीकी नहीं, बल्कि संगठनात्मक है। चैटबॉट दृश्यमान, "AI" घटक था, इसलिए इसने सुरक्षा पर ध्यान आकर्षित किया। इसके पीछे का उबाऊ वेब एडमिन वास्तविक विस्फोट त्रिज्या था, और लगभग किसी ने भी इसे उस तरह से नहीं देखा।

ऐसा तब होता है जब कोई खरीदार AI विक्रेता को एक AI उत्पाद के रूप में मानता है, न कि एक SaaS एप्लिकेशन के रूप में जिसमें एक मॉडल होता है। मॉडल को रेड-टीम समीक्षा मिलती है। एडमिन कंसोल, आवेदक API, स्टोरेज बकेट, ऑडिट लॉगिंग, क्रेडेंशियल रोटेशन पॉलिसी — वे चीजें जिनमें दशकों से ज्ञात विफलता मोड हैं — को प्लंबिंग के रूप में माना जाता है।

आपूर्तिकर्ता प्रोत्साहन संरचना इसे पुष्ट करती है। AI विक्रेता तेजी से शिप करते हैं, अक्सर एक परिपक्व सुरक्षा कार्यक्रम होने से पहले, और उनके ग्राहकों की खरीद टीमें मॉडल व्यवहार के बारे में पूछती हैं, न कि आसपास के एप्लिकेशन के बारे में। 2019 से "123456" पासवर्ड वाला एक परीक्षण खाता उस अंतर को वर्षों तक जीवित रखता है क्योंकि किसी ने भी इसे खोजने के लिए समीक्षा को दायरे में नहीं रखा था।

अगले दो वर्षों के सबसे महंगे AI उल्लंघन मॉडल शोषण नहीं होंगे। वे मॉडल के चारों ओर लिपटे एप्लिकेशन में 1990 के दशक की वेब कमजोरियां होंगी।

हमलावर की चरण-दर-चरण रणनीति

खुलासा किया गया क्रम छोटा था, और यही असहज हिस्सा है। एक कुशल हमलावर को नए प्रिमिटिव की श्रृंखला की आवश्यकता नहीं थी।

चरण 1: AI विक्रेता सतह की गणना करें

दृश्यमान चैटबॉट के पीछे तीसरे पक्ष के विक्रेता की पहचान करें। इस मामले में बॉट ने खुद को Paradox.ai द्वारा निर्मित बताया, जिसने एक अलग प्रशासनिक सतह — उसी McHire डोमेन पर एक लॉगिन पृष्ठ — की ओर इशारा किया।

चरण 2: स्पष्ट क्रेडेंशियल आज़माएं

डिफ़ॉल्ट और कमजोर क्रेडेंशियल विक्रेता एडमिन पैनल के खिलाफ सबसे अधिक उपज वाले हमले बने हुए हैं। रिपोर्टिंग से पता चलता है कि "123456" / "123456" के साथ एक एकल परीक्षण खाता पर्याप्त था।

चरण 3: एडमिन से डेटा तक धुरी

एडमिन भूमिका ने एक आंतरिक आवेदक API को उजागर किया। API ने एक अनुक्रमिक संख्यात्मक पहचानकर्ता का उपयोग किया और यह जांच नहीं की कि कॉलिंग खाता प्रत्येक विशिष्ट आवेदक को पढ़ने के लिए अधिकृत था। ID को दोहराने से मनमाने रिकॉर्ड वापस आ गए।

चरण 4: दायरे की पुष्टि करें और खुलासा करें

शोधकर्ताओं ने प्रभाव के प्रमाण पर रोक लगा दी, डेटासेट के आकार को मान्य किया, और Paradox.ai और मैकडॉनल्ड्स को रिपोर्ट किया। Paradox.ai ने परीक्षण खाते को अक्षम कर दिया और कथित तौर पर खुलासा के घंटों के भीतर IDOR को ठीक कर दिया।

रक्षकों ने क्या खोया

तीन चीजें, गंभीरता के घटते क्रम में।

सबसे पहले, विक्रेता की एडमिन सतह पर कोई क्रेडेंशियल स्वच्छता नहीं थी। एक परीक्षण खाता जो उत्पादन परिनियोजन से पहले का था, छह-वर्ण वाले संख्यात्मक पासवर्ड के साथ, इसे बनाए जाने के पांच साल बाद सार्वजनिक इंटरनेट से पहुंच योग्य था। कोई भी आवधिक क्रेडेंशियल ऑडिट इसे ढूंढ लेता।

दूसरा, आवेदक API पर कोई प्राधिकरण जांच नहीं थी। IDOR OWASP कैटलॉग में सबसे पुरानी, सबसे अच्छी तरह से प्रलेखित वेब कमजोरियों में से एक है। तथ्य यह है कि एक प्रमाणित एडमिन कॉल ने मनमाने आवेदक रिकॉर्ड वापस कर दिए, इसका मतलब है कि API ने प्रमाणीकरण लागू किया लेकिन प्राधिकरण नहीं।

तीसरा, उबाऊ सतह की कोई सुरक्षा समीक्षा नहीं थी। चैटबॉट ने ध्यान आकर्षित किया क्योंकि यह AI था। एडमिन लॉगिन, API गेटवे, और 64 मिलियन PII रिकॉर्ड का भंडारण — मैकडॉनल्ड्स में, Paradox.ai में, या McHire को तैनात करने वाले फ्रेंचाइजी में — को समान जांच नहीं मिली।

एक व्यावहारिक रक्षात्मक चेकलिस्ट

ठीक करना अवांछनीय है। वे भी वही हैं जो इस घटना को रोकते।

• आपके द्वारा उपयोग किए जाने वाले किसी भी AI विक्रेता द्वारा उजागर की गई प्रत्येक प्रमाणीकरण सतह की सूची बनाएं, जिसमें एडमिन पैनल, परीक्षण वातावरण और ग्राहक-सहायता उपकरण शामिल हैं। उन्हें क्राउन-ज्वेल वेब ऐप्स की तरह मानें, न कि मॉडल के लिए प्लंबिंग की तरह।
• विक्रेताओं को लिखित रूप में प्रमाणित करने की आवश्यकता है कि उत्पादन में कोई डिफ़ॉल्ट या साझा क्रेडेंशियल मौजूद नहीं हैं, और ऑनबोर्डिंग के दौरान बनाए गए परीक्षण खाते गो-लाइव पर हटा दिए जाते हैं।
• विक्रेता द्वारा उजागर किए गए प्रत्येक API के खिलाफ प्रमाणित IDOR/BOLA परीक्षण चलाएं, विशेष रूप से वे API जो प्रति-उपयोगकर्ता रिकॉर्ड वापस करते हैं। OWASP API सुरक्षा शीर्ष 10 इसे अच्छे कारण से #1 पर रखता है।
• प्रत्येक विक्रेता एडमिन सतह के लिए अपने पहचान प्रदाता के साथ SSO को बाध्य करें, ताकि क्रेडेंशियल स्वतंत्र रूप से प्रवाहित न हों और कर्मचारी छोड़ने पर पुराने खाते समाप्त हो जाएं।
• एडमिन सत्र विशेषाधिकारों को सीमित करें ताकि एक एकल समझौता किया गया एडमिन खाता पूरे आवेदक या ग्राहक डेटासेट की गणना न कर सके।
• संवेदनशील API के खिलाफ थोक-पठन पैटर्न पर लॉग इन करने और अलर्ट करने के लिए विक्रेता की आवश्यकता है। लाखों आवेदक रिकॉर्ड खींचना सामान्य दिन जैसा नहीं दिखना चाहिए।

आधुनिक आक्रामक परीक्षण ने इसे कैसे पकड़ा होता

McHire विक्रेता सतह के खिलाफ एक दायरे में, अधिकृत आक्रामक जुड़ाव — चैटबॉट के खिलाफ नहीं — ने इसे पहली दोपहर में ढूंढ लिया होता। प्रासंगिक जांच अच्छी तरह से स्थापित हैं: एडमिन लॉगिन के खिलाफ क्रेडेंशियल-स्प्रे, प्रत्येक पैरामीटराइज़्ड API पर प्रमाणित क्षैतिज पहुंच नियंत्रण, और परीक्षण खातों और रीसेट वर्कफ़्लो की समीक्षा।

इस कहानी में मॉडल को रेड टीम की आवश्यकता नहीं है। मॉडल ने सही व्यवहार किया। चैटबॉट के गार्डरेल कायम रहे। सबक यह है कि रैपिंग उत्पाद की एक पूरी तरह से एप्लिकेशन सुरक्षा समीक्षा ने किल चेन के हर चरण को लाइव होने से पहले ही चिह्नित कर दिया होता।

आगे क्या देखना है

इस तरह की और उम्मीद करें। AI विक्रेता अधिक संवेदनशील वर्कफ़्लो — हायरिंग, दावे, ग्राहक सेवा, शेड्यूलिंग — को अवशोषित कर रहे हैं, और उन वर्कफ़्लो के आसपास के बैकएंड प्रशासनिक कंसोल अब विनियमित व्यक्तिगत डेटा की सांद्रता रखते हैं जो पहले कम पहुंच योग्य प्रणालियों में थे।

अपने स्वयं के कार्यक्रम में देखने के लिए दो चीजें: कौन से AI विक्रेता आपकी ओर से विनियमित व्यक्तिगत डेटा की उच्चतम सांद्रता रखते हैं, और उनकी एडमिन सतह का परीक्षण करने का आपका संविदात्मक अधिकार कैसा दिखता है। यदि आप विक्रेता के पैनल के खिलाफ एक प्रमाणित एप्लिकेशन सुरक्षा समीक्षा नहीं चला सकते हैं, तो आप भरोसा कर रहे हैं कि अगला परीक्षण खाता हटा दिया गया था, अगला API प्राधिकरण लागू करता है, और अगला डिफ़ॉल्ट पासवर्ड घुमाया गया था। McHire का खुलासा दिखाता है कि जब वह विश्वास गलत जगह पर रखा जाता है तो क्या होता है।