2024年3月に公表された生成AI関連のインシデント（1件）

生成AIサービス「リートン」のデータベース設定不備で、利用者の入力プロンプトや生成結果、メールアドレスなどを外部から取得・編集できる状態だった

リートンテクノロジーズジャパンは、同社が運営する生成AIサービス「リートン」に技術的な脆弱性があり、特殊な操作でニックネーム、職業、メールアドレス、LINE UID、入力したプロンプト、生成結果を取得・編集できる状態だったと報告した。2023年11月30日に利用者からの通報で発覚し、調査でデータベースシステムの設定の一部に不備があり、外部からデータベースにアクセスできる状態だったことを確認した。2023年12月8日に修正を完了した。

原因

データベースシステムの設定の一部に不備があり、特定の操作で外部からデータベースにアクセスできる状態だった（同社）。

影響

取得・編集が可能だった項目は、ニックネーム、職業、メールアドレス（メールで登録した場合）、LINE UID（LINEで登録した場合）、入力したプロンプト、生成結果（同社）。対象の件数と、実際に悪用されたかどうかは公表なし。

当事者の対応

2023年12月8日に修正し、外部のセキュリティ専門家の監査で問題がないことを確認。2024年1月23日にデータベースを含むシステム全体を改修。2024年4月からセキュリティコンサルティングを導入し、第三者機関によるセキュリティ強化を行うとした（同社）。

防ぐには

生成AIサービスに入力した内容は、事業者側の設定不備でも外に出ることがある。業務で使うサービスは、運営事業者のセキュリティ体制や第三者監査の有無を確かめ、入力してよい情報の範囲を決めておく。