Hvem må bruge dine data, og hvem får adgang?

Ugens historier handler i bund og grund om det samme: hvem der må bruge data, og hvem der får adgang til hvad. Nogle gange er svaret uklart, og nogle gange er det snyd.

Data, der bruges til mere end aftalt

Det mest nærgående eksempel kommer fra hovedbåndet Muse. Ifølge en undersøgelse i tidsskriftet Science har producenten brugt brugeres hjernedata til at træne en AI-model, uden at privatlivspolitikken sagde det. Selskabet har siden ændret politikken.

Hos OpenAI er det en kommende ændring. Fra 29. november vil selskabet bruge data fra Daybreak Blue-sessioner til at træne sine modeller. Forskere frygter, at OpenAI dermed lærer af deres sikkerhedsarbejde. Efter kritik er en separat fravalgsmulighed lovet. Det er altså endnu ikke sket, og fravalget er indtil videre et løfte.

Samme spørgsmål fylder på nettet. Meta har udskudt nye kommercielle vilkår på ubestemt tid, efter udgivere frygtede, at vilkårene giver Meta ret til at hente indhold fra deres sider. Det kaldes scraping: automatisk indsamling af indhold fra hjemmesider. Juridiske eksperter mener, at den justerede tekst stadig er bred.

Falske kopier og låste døre

En skadelig version af Claude Code-udvidelsen lå i ca. 11 timer på Cursors markedsplads og kan have givet angribere adgang til op til 5.000 udvikleres computere. Cursor er et program, som udviklere bruger til at skrive kode med AI-hjælp. Anthropic siger, at selskabets egne systemer ikke blev kompromitteret, mens ThreatDefence kalder det uafklaret, om Anthropics officielle kanaler var upåvirkede.

Et andet eksempel er kampagnen Yoba, som Check Point Research har beskrevet. Her indeholdt falske AI-programmer ægte, signerede installationsfiler fra OpenAI og Anthropic. Bag dem lå en kryptominer, der udnytter brugerens computer.

På forsvarssiden peger nyhederne to forskellige veje. Google DeepMind siger, at AI-agenter under menneskeligt tilsyn har fundet to svagheder i ældre RSA-kryptering med 1024-bit nøgler. Resultaterne gælder ikke nøgler på 2048 bit eller derover. OpenAI har samtidig lanceret GPT-6 Cyber til at finde og teste sårbarheder i software, men kun godkendte sikkerhedsteams kan få adgang. Her er adgangen med vilje begrænset.

Myndighederne følger med

Ifølge Spotlight Delaware har Delaware Department of Justice sendt en undersøgelsesindkaldelse til OpenAI om sikkerhed og ledelse. Californien har allerede sendt en lignende som led i en undersøgelse af cybersikkerhedshændelser, bl.a. Hugging Face-hændelsen.

Hvad kan man gøre?

Læs med, når en tjeneste ændrer sine vilkår, og kig efter fravalgsmuligheder. Hent kun programmer og udvidelser fra officielle kilder, og tjek udgiveren, også når navnet ser kendt ud. Hold øje med 29. november hos OpenAI, og med om Meta vender tilbage med nye vilkår.