Mixpanel事件中究竟洩漏了什麼訊息，洩漏的程度如何？答案不在於人工智慧模型本身，而是我們往往忽略的周邊資料。
為什麼不藉此機會仔細審視一下在使用服務的便利背後悄悄累積的第三方風險呢？
11 月 9 日，OpenAI 宣布其 API 平台 (platform.openai.com) 前端使用的分析服務 Mixpanel 發生安全事件，承認由於未經授權的訪問，某些 API 用戶的姓名、電子郵件地址、城市級位置資訊、瀏覽器、作業系統、引薦來源、組織 ID 和用戶 ID 等元資料可能已被洩露。
然而，OpenAI 解釋說，其自身系統並未受到損害，聊天內容、API 請求/回應、API 使用情況、密碼、API 金鑰、支付資訊、政府頒發的身份證件、會話令牌等均未受到影響。
OpenAI 表示，將從其生產環境中移除 Mixpanel，通知受影響的組織、管理員和用戶，並加強對其第三方供應商的安全審查。
從： 
關於最近 Mixpanel 安全事件，你需要了解哪些資訊？
【社論】
Mixpanel事件不應被視為ChatGPT和OpenAI核心系統遭到入侵的事件，而應被視為OpenAI在其API管理介面中使用的分析供應商遭到入侵，導致API用戶元資料外洩的事件。換句話說，如果我們理解此次攻擊的目標是諸如「哪些類型的用戶正在使用API，以及他們來自哪些地區和環境」之類的外圍訊息，而不是對話內容（例如提示訊息和模型輸出），那麼此次事件的影響範圍就更加清晰了。
據稱，洩露的資訊僅限於所謂的“API用戶個人資料資訊”，例如姓名、電子郵件地址、城市/州/國家/地區級別的位置資訊、瀏覽器和作業系統、來源網站、組織ID和用戶ID。然而，OpenAI和多家安全媒體已多次確認，洩漏的資訊不包含密碼、API金鑰、支付資訊（例如信用卡、政府頒發的身分證件）或會話令牌等，這些資訊可能立即導致帳戶被盜用或帳單詐欺。
然而，關鍵在於，這並不意味著「我們沒有洩露任何關鍵機密，所以就安全了」。如果攻擊者獲取了一系列信息，例如電子郵件地址、表明您是“OpenAI API 用戶”的標籤，以及與您的組織 ID 和使用環境相關的元數據，這些信息就可能成為極具迷惑性的網絡釣魚和社會工程攻擊材料。例如，攻擊者很容易偽造一封偽裝成“來自 OpenAI 支援的重要通知”的電子郵件，誘騙您重新註冊 API 金鑰；或偽造一封“致組織管理員的使用限制通知”，誘騙您輸入身份驗證資訊。
OpenAI 已停止使用 Mixpanel，並表示有意擴大安全審查範圍，將其他第三方納入其中。但這反映出一種現代風險結構：生成式人工智慧的價值與其背後的 SaaS 和 SDK 供應鏈密不可分。對於那些圍繞 API 運營業務的公司和新創公司而言，現在不僅需要審視自身產品，還需要評估將哪些數據委託給哪些供應商進行分析、日誌記錄、監控、支付、CRM 等服務，並思考一旦發生安全事件，該如何向用戶解釋情況。
此類事件很可能會對未來關於監管和合規性的討論產生影響。特別是，各國（例如GDPR）的個人資訊保護法將對資料管理責任提出嚴格要求，外包供應商也不例外。這將要求人工智慧公司不僅要確保其模型的安全，還要管理整個供應商生態系統中的風險。對於我們這些將生成式人工智慧融入工作的人來說，未來不僅要選擇使用哪種模型，還要捫心自問：「如果幕後負責日誌記錄、分析和可觀測性的服務遭到破壞，我們的用戶會受到怎樣的影響？」這將成為一項必備技能。
[術語]
網路釣魚<br>網路釣魚是指一種攻擊技術，它利用偽裝成合法公司或服務的電子郵件或網站，誘騙用戶提供密碼和信用卡號等機密資訊。
社會工程<br>一種利用人類心理和信任的攻擊技術，透過對話、電話、冒充等方式竊取機密資訊和身分驗證憑證。
多因素身份驗證 (MFA)
除了密碼之外，該系統還允許用戶使用多種因素登錄，例如身份驗證應用程式、簡訊驗證碼和實體金鑰，從而大大降低了未經授權登入的風險。
元資料<br>這指的不是內容本身，而是諸如“何時”、“從何處”、“由誰”以及“在什麼設備上”訪問內容等外圍信息，其中包括可能被濫用以推斷用戶行為和屬性以及用於冒充攻擊的數據。
[參考連結]
OpenAI （外部）
該公司提供生成式人工智慧模型、API、ChatGPT 和其他服務，並經營相關的 API 平台（platform.openai.com）。
Mixpanel （外部）
它是一款產品分析工具，用於分析使用者在網頁和行動應用程式上的行為，並被用作 OpenAI API 前端的分析標籤。
OpenAI 幫助中心：多因素身份驗證（外部）
這是官方說明頁面，其中總結了在 OpenAI 帳戶上啟用和停用多因素身份驗證的步驟和注意事項。
OpenAI平台（API控制台） （外部）
這是一個 Web 控制台，可讓您管理 OpenAI API、檢查使用狀態和參考文檔，它對應於這次嵌入 Mixpanel 標籤的前端。
Mixpanel 安全活動（官方公告） （外部）
這是一篇官方部落格文章，解釋了一起安全事件，其中 Mixpanel 的系統遭到入侵，一些客戶資料被匯出。
[參考影片]
[參考文章]
OpenAI揭露API客戶資料外洩事件，系Mixpanel供應商遭駭客攻擊所致（外部通報）
本文總結了 Mixpanel 系統遭到入侵如何導致 OpenAI API 用戶元資料（包括姓名、電子郵件地址和位置資訊）洩露，以及 OpenAI 在暫停使用 Mixpanel 和通知受影響用戶方面取得的進展。
OpenAI 證實 Mixpanel 資料外洩事件導致其 API 用戶資料暴露（外部連結）
該報告詳細介紹了 Mixpanel 事件中受影響的數據類型，包括該事件僅限於 OpenAI API 用戶，不包括 ChatGPT 用戶，並警告了網路釣魚和社會工程的風險。
OpenAI因分析資料外洩暫停使用Mixpanel （外部訊息）
從安全產業的角度來看，本文報導，OpenAI 已停止使用 Mixpanel，並正在加強其安全審查，包括與其他供應商的審查，而且涉及分析供應商的事件已成為供應鏈風險。
在分析公司 Mixpanel 遭受網路攻擊後，OpenAI 的資料可能已洩露（外部連結）。
該報告概述了 Mixpanel 遭受的網路攻擊，並按時間順序解釋了 OpenAI 用戶個人資料資訊是如何受到影響的，同時也介紹了 API 用戶可採取的實用安全措施。
OpenAI 資料外洩事件導致用戶資料外洩。以下是您需要立即採取的措施（外部連結）
該報告概述了 OpenAI API 使用者應採取的具體措施，例如啟用多因素身份驗證、檢查官方網域名稱以及如何識別網路釣魚電子郵件，並總結了對企業用戶的影響和應對措施。
OpenAI因API用戶資料外洩事件終止與Mixpanel的合作關係（外部通報）
本文分析了 OpenAI 決定終止與 Mixpanel 的合作關係的背景，以及從歐洲市場角度來看，這對供應商選擇和合規性的影響。
OpenAI 證實 Mixpanel 資料外洩事件後資料遭到外洩（外部訊息）
本文總結了 API 用戶元資料外洩對企業信任和監管合規性的影響，並解釋了第三方風險管理在雲端服務中的重要性。
[編者註]
我認為Mixpanel事件悄悄引發了一個問題：為了安全地使用先進的AI服務，我們需要對幕後運作了解多少？如今，人們在工作和生活中組合使用多個API和SaaS來創建產品已成為常態，因此，諸如“我的數據會經過哪個服務？數據存儲在哪裡？”之類的問題往往被人們擱置。
聽到這個消息後，我心中湧起一股莫名的不安，如果就此忽略，實在可惜。如果你仔細審視一下自己使用的AI服務、分析工具、CRM系統等等，問問自己：“我應該把哪些工作委託給哪家公司？”，或許會有新的發現。如果你的產品或團隊中存在任何讓你感到困惑的地方，例如“我們到底怎麼了？”，我認為這種不安感正是你思考下一步行動的重要信號。
