Un chercheur affirme avoir accédé à l'infrastructure et au code d'Adalat AI

Le chercheur en cybersécurité Nisarga Adhikary a affirmé avoir découvert des vulnérabilités importantes au sein des systèmes d'Adalat AI, une startup impliquée dans des initiatives technologiques soutenues par le gouvernement. Adhikary allègue que ces failles lui ont permis d'accéder à la base de données, aux systèmes de stockage, à l'infrastructure de production, aux identifiants et au code source privé de l'entreprise.

Initialement, Adhikary a également affirmé que des données judiciaires sensibles étaient traitées sur des serveurs de production situés au Japon. Cependant, les fondateurs d'Adalat AI ont clarifié ultérieurement que les données auxquelles Adhikary avait accédé étaient des données de recherche publiquement disponibles. Malgré cette clarification, Adhikary a maintenu sa déclaration selon laquelle le déploiement, les processus DevOps, l'infrastructure de production et le code source de l'entreprise avaient été compromis.

Dans une divulgation détaillée à Adalat AI, Adhikary a décrit ce qu'il a appelé des "vulnérabilités de sécurité critiques". Celles-ci auraient inclus un "compromis total de l'infrastructure", un "accès complet à la base de données/au stockage", des identifiants actifs divulgués, un accès administrateur au cluster Kubernetes et l'accès à plus de 90 dépôts de code source privés internes.

Les affirmations d'Adhikary ont suscité des critiques quant à la qualité des startups promues par le ministère indien de l'Électronique et des Technologies de l'Information (MeitY), suggérant un décalage entre les déclarations publiques de l'entreprise sur la souveraineté des données et l'infrastructure accessible. Les fondateurs d'Adalat AI auraient reconnu les vulnérabilités de bonne foi et accepté de coopérer pour les corriger, selon Adhikary.

L'étendue complète des vulnérabilités, leur durée et la question de savoir si d'autres parties ont obtenu un accès ne sont pas encore publiquement confirmées. Adalat AI n'a pas encore publié de déclaration publique détaillée concernant l'incident.