Chat & Ask AI, una delle applicazioni di intelligenza artificiale più scaricate sui marketplace di Google e Apple con oltre 50 milioni di utenti, ha esposto centinaia di milioni di messaggi privati a causa di una falla nei propri server. Questo è quanto emerge da una ricerca indipendente e dalle comunicazioni visionate e pubblicate dalla testata 404 Media.
I dati compromessi includono conversazioni delicate. In alcune di esse, gli utenti richiedono all’assistente virtuale indicazioni su come compiere atti suicidi. In altre, si chiedono suggerimenti per redigere lettere di addio. Inoltre, ci sono richieste su come produrre sostanze stupefacenti come la metanfetamina.
La vulnerabilità identificata dai ricercatori
La falla è stata scoperta da un ricercatore di sicurezza indipendente, conosciuto con il nome di “Harry”. Si tratta di uno pseudonimo. Il problema deriva da una configurazione errata di Google Firebase, una piattaforma di sviluppo mobile molto utilizzata. Secondo il ricercatore, il difetto consentiva a chiunque di registrarsi come utente “autenticato” e di accedere al backend dell’app, dove erano archiviati i dati.
“Harry” ha riferito di aver avuto accesso a 300 milioni di messaggi appartenenti a oltre 25 milioni di utenti. Un’analisi su un campione di un milione di messaggi ha rivelato cronologie complete, timestamp, nomi associati ai chatbot e i modelli linguistici specifici impiegati (inclusi ChatGPT di OpenAI, Claude di Anthropic e Gemini di Google).
Contenuti delicati esposti. E secondo la normativa europea, l’app era sicura
L’incidente riporta l’attenzione sui rischi legati alla privacy e alla sicurezza dei chatbot. Tra i dati analizzati, sono emerse domande esplicite come: “Voglio suicidarmi, qual è il metodo migliore?” o richieste di saggi su come sintetizzare droghe in scenari ipotetici.
Il settore dell’IA è già sotto scrutinio per episodi recenti in cui i chatbot avrebbero incoraggiato comportamenti autolesionistici. Nonostante le rassicurazioni sui siti ufficiali — dove lo sviluppatore di Chat & Ask AI, la turca Codeway, vanta standard ISO e conformità al GDPR, la normativa europea sul trattamento dei dati degli utenti online — la realtà tecnica ha rivelato una vulnerabilità strutturale.
Cosa è e come funziona Chat & Ask AI
Chat & Ask AI in effetti non possiede un proprio modello di intelligenza artificiale, ma opera come un guscio esterno (tecnicamente definito wrapper). L’app funziona collegandosi tramite Api (interfacce di programmazione) ai potenti motori linguistici di aziende terze: l’utente scrive un messaggio nell’app, questa lo invia a modelli come GPT-4 di OpenAI, Claude di Anthropic o Gemini di Google, e riporta la risposta in un’interfaccia semplificata.
Questo consente a Codeway di offrire un’esperienza multimodale “tutto in uno”, integrando funzioni aggiuntive come la scansione di documenti tramite fotocamera o la generazione di immagini, monetizzando l’accesso a queste tecnologie attraverso abbonamenti premium. Ed è proprio questo che ne ha determinato la popolarità.
I commenti sono chiusi.