Lilli ของ McKinsey เปิดตัวสู่สาธารณะเมื่อวันที่ 9 มีนาคม บันทึกดังกล่าวไม่มีภัยใดๆ

เมื่อวันที่ 9 มีนาคม 2026 สตาร์ทอัปด้านความปลอดภัย CodeWall ได้เผยแพร่รายละเอียดว่าเอเจนต์อัตโนมัติที่บริษัทพัฒนาขึ้นสามารถเข้าถึงฐานข้อมูลโปรดักชันที่อยู่เบื้องหลัง Lilli ซึ่งเป็นผู้ช่วย AI ทั่วทั้งบริษัทของ McKinsey & Company ได้อย่างไร โดยได้สิทธิ์อ่านและเขียนแบบเต็มภายในเวลาประมาณสองชั่วโมงและโดยไม่ต้องใช้ข้อมูลรับรองใด ๆ แม้แต่รายการเดียว เหตุการณ์บุกรุกเกิดขึ้นเมื่อวันที่ 28 กุมภาพันธ์ ส่วนสิ่งที่รายการบันทึกนี้ในคลังเหตุการณ์ AI บันทึกไว้คือวันที่เรื่องดังกล่าวกลายเป็นที่เปิดเผยต่อสาธารณะ ตามข้อมูลของ CodeWall ฐานข้อมูลที่เอเจนต์เข้าถึงได้นั้นมีข้อความแชต 46.5 ล้านข้อความที่จัดเก็บเป็นข้อความธรรมดา ไฟล์ 728,000 ไฟล์ บัญชีผู้ใช้ 57,000 บัญชี และพรอมต์ระบบ 95 รายการที่ควบคุมวิธีที่ Lilli ตอบ — และพรอมต์เหล่านั้นอยู่ในฐานข้อมูลเดียวกันกับที่เอเจนต์สามารถเขียนได้ บุคคลในข้อมูลดังกล่าวเป็นพนักงานของ McKinsey เอง โดยบริษัทระบุว่าพนักงาน 72 เปอร์เซ็นต์ ซึ่งมีจำนวนมากกว่า 40,000 คน ใช้ Lilli ซึ่งรองรับพรอมต์มากกว่า 500,000 รายการต่อเดือน รายการบันทึกฉบับเต็ม ซึ่งรวมถึงระดับความรุนแรงและระดับความเชื่อมั่น ตลอดจนบันทึกข้างเคียงที่รายการนี้อยู่ร่วมด้วย อยู่ใน Orca AI Incident Archive.

ประโยคเปิดนั้นย่อการกล่าวอ้างสองประเภทที่ต่างกันมากเข้าไว้ด้วยกัน และรายการในคลังข้อมูลก็ระมัดระวังต่อความแตกต่างนี้ โดยจัดระดับบันทึกไว้ว่าเป็นเหตุการณ์ (incident) ความมั่นใจระดับ A ไม่มีการโต้แย้ง ความรุนแรงสูง ภูมิภาค US ประเภท INFRA — โครงสร้างพื้นฐาน ไม่ใช่ความล้มเหลวของโมเดล และยังบันทึกว่าไม่มีความเสียหายที่เกิดขึ้นจริง ฟิลด์สุดท้ายนั้นคือฟิลด์ที่ควรอ่านซ้ำอีกครั้ง เพราะมันไม่ได้หมายความว่าการเปิดเผยนั้นไม่ก่ออันตรายใด ๆ มันหมายความว่าไม่มีการยืนยันความเสียหายได้จากบันทึก และบทความด้านล่างแยกสิ่งที่ทั้งสองฝ่ายเห็นตรงกันออกจากสิ่งที่อาศัยเพียงคำชี้แจงของบริษัทแห่งหนึ่งเกี่ยวกับงานวิจัยของตนเอง

ทำไมการเปิดเผยข้อมูลจึงเป็นเหตุการณ์ที่กำหนดวันที่ของตัวเอง

บทสรุปของคลังข้อมูลสำหรับรายการนี้ชี้ย้อนไปยังวันที่ 28 กุมภาพันธ์ 2026 ซึ่งเป็นวันที่เอเจนต์ของ CodeWall พบช่องโหว่ และคลังข้อมูลได้เก็บวันที่ก่อนหน้านั้นไว้เป็นบันทึกแยกต่างหาก การแยกดังกล่าวไม่ใช่เรื่องระบบราชการ ก่อนวันที่ 9 มีนาคม ผู้ที่รู้ว่าเกิดอะไรขึ้นภายใน Lilli มีเพียง McKinsey และนักวิจัยที่แจ้งเรื่องดังกล่าวเท่านั้น หลังวันที่ 9 มีนาคม ลักษณะของความล้มเหลว การตอบสนองของบริษัท และข้อกล่าวอ้างเกี่ยวกับสิ่งที่อยู่ในฐานข้อมูล ต่างก็ปรากฏอยู่ในบันทึกสาธารณะแล้ว ซึ่งนักวิจัยความปลอดภัยคนอื่นสามารถโต้แย้งกับสิ่งเหล่านี้ได้

Lilli ไม่ใช่โปรเจ็กต์เสริม The Register ระบุว่าเริ่มเปิดใช้งานในเดือนกรกฎาคม 2023 สำหรับแชต การวิเคราะห์เอกสาร และการค้นคืนข้อมูลจากงานวิจัยภายในของบริษัท บทความของ CodeWall ซึ่งบันทึกที่มาของชื่อไว้ด้วย — ผู้หญิงวิชาชีพคนแรกที่บริษัทจ้าง ในปี 1945 — อธิบายว่ามีเอกสารภายในมากกว่า 100,000 ฉบับรองรับอยู่เบื้องหลัง The Register ซึ่งรายงานการเปิดเผยข้อมูลในวันเดียวกัน ระบุอัตราการนำไปใช้ที่ 72 เปอร์เซ็นต์ของพนักงาน และปริมาณการใช้งานสูงกว่า 500,000 พรอมต์ต่อเดือน — ตัวเลขที่ McKinsey เองได้เผยแพร่ในกรณีศึกษาสาธารณะของแพลตฟอร์ม

เอเจนต์เข้ามาได้อย่างไร

เรื่องเล่าของ CodeWall เริ่มต้นด้วยเอกสาร ไม่ใช่การใช้ช่องโหว่ เอเจนต์ของบริษัทพบว่าเอกสาร API ของ Lilli ถูกเปิดเผยต่อสาธารณะและเขียนอธิบายไว้อย่างครบถ้วน: มีเอ็นด์พอยต์ทั้งหมดมากกว่า 200 รายการ ส่วนใหญ่ต้องยืนยันตัวตน และมี 22 รายการที่ไม่ต้อง หนึ่งในเอ็นด์พอยต์ที่ไม่ต้องยืนยันตัวตนเหล่านั้นเขียนคำค้นหาของผู้ใช้ลงในฐานข้อมูล ค่าต่าง ๆ ถูกกำหนดเป็นพารามิเตอร์อย่างถูกต้อง แต่คีย์ JSON — ชื่อฟิลด์ — ถูกนำไปต่อกันเข้าไปใน SQL โดยตรง

เอเจนต์สังเกตเห็นเพราะข้อความแสดงข้อผิดพลาดของฐานข้อมูลสะท้อนคีย์ JSON เหล่านั้นกลับมาตรงตัวทุกตัวอักษร CodeWall กล่าวว่าแสกนเนอร์ ZAP ของ OWASP ไม่ได้แจ้งเตือนปัญหานี้ และเอเจนต์ได้รันการทดลองแบบไม่รู้ผลลัพธ์ 15 รอบ โดยข้อความผิดพลาดแต่ละครั้งสอนให้มันรู้มากขึ้นเล็กน้อยเกี่ยวกับโครงสร้างของคิวรี จนกระทั่งแถวข้อมูลจากการใช้งานจริงในโปรดักชันเริ่มถูกส่งกลับมา จากตรงนั้น มันเชื่อมการโจมตีแบบ injection เข้ากับช่องโหว่การอนุญาตระดับออบเจกต์ เพื่ออ่านประวัติการค้นหาของพนักงานแต่ละคน บริษัทอธิบายว่าการทำงานทั้งหมดเป็นแบบอัตโนมัติเต็มรูปแบบ ตั้งแต่การเลือกเป้าหมายไปจนถึงการจัดทำรายงาน โดยไม่ใช้ข้อมูลรับรองและไม่มีมนุษย์อยู่ในวงจร Paul Price ผู้ก่อตั้งและซีอีโอของบริษัทกล่าวกับ The Register ว่ากระบวนการนี้ "เป็นอัตโนมัติเต็มรูปแบบตั้งแต่การค้นคว้าเป้าหมาย การวิเคราะห์ การโจมตี ไปจนถึงการรายงาน"

สิ่งที่ CodeWall บอกว่าอยู่ข้างใน

ทุกตัวเลขในส่วนนี้มาจากบทวิเคราะห์ของ CodeWall ลงวันที่ 9 มีนาคม ไม่มีการเผยแพร่เพย์โหลดใด ๆ ดังนั้นจึงไม่มีสิ่งใดที่สามารถทำซ้ำหรือนับอย่างอิสระได้ — ซึ่งเป็นข้อจำกัดที่ส่วนถัดไปจะกล่าวถึง

• ข้อความแชท 46.5 ล้านข้อความ จัดเก็บเป็นข้อความธรรมดา ครอบคลุมงานด้านกลยุทธ์ การทำงานร่วมกับลูกค้า ข้อมูลทางการเงิน และการควบรวมและซื้อกิจการ

• ไฟล์ 728,000 ไฟล์ ซึ่งในรายงานได้แจกแจงไว้เป็นไฟล์ PDF 192,000 ไฟล์ สเปรดชีต Excel 93,000 ไฟล์ ชุดสไลด์ PowerPoint 93,000 ไฟล์ และเอกสาร Word 58,000 ไฟล์ — รวมทั้งสิ้น 436,000 ไฟล์ เหลืออีก 292,000 ไฟล์ที่ไม่ได้จำแนกประเภทในประโยคเดียวกัน

• บัญชีผู้ใช้ 57,000 บัญชี ผู้ช่วย AI 384,000 ราย และเวิร์กสเปซ 94,000 แห่ง ซึ่ง CodeWall อธิบายว่าเป็นโครงสร้างองค์กรแบบเต็มรูปแบบของการที่บริษัทใช้ AI ภายในองค์กร

• พรอมต์ระบบและการกำหนดค่าโมเดล 95 รายการ ครอบคลุมโมเดล 12 ประเภท แสดงให้เห็นว่าผู้ช่วยได้รับคำสั่งอย่างไร มีมาตรการป้องกันใดบ้าง และมีโมเดลใดอยู่เบื้องหลัง

• ชิ้นส่วนเอกสารสำหรับการสร้างแบบเสริมด้วยการค้นคืน (retrieval-augmented generation) จำนวน 3.68 ล้านชิ้น พร้อมเส้นทางการจัดเก็บใน S3 และเมทาดาทาไฟล์ภายใน — ฐานความรู้ที่ป้อนให้กับผู้ช่วย

• ไฟล์ 1.1 ล้านไฟล์และข้อความจากเอเจนต์ 217,000 ข้อความที่ส่งผ่าน API ของ AI ภายนอก รวมถึงเวกเตอร์สโตร์มากกว่า 266,000 แห่งบนแพลตฟอร์มของ OpenAI

สิ่งที่ CodeWall มองว่าเป็นพาดหัวข่าวไม่ใช่การโจมตีแบบ injection แต่เป็นจุดที่ injection ไปลงเอยต่างหาก พรอมต์ระบบของ Lilli เป็นแถวข้อมูลในฐานข้อมูลเดียวกับที่เอเจนต์สามารถเขียนได้ ซึ่งหมายความว่าผู้โจมตีที่มีสิทธิ์เข้าถึงเดียวกันอาจเขียนคำสั่งของผู้ช่วยใหม่ได้ด้วยคำสั่ง UPDATE เพียงคำสั่งเดียวที่ห่ออยู่ใน HTTP call เพียงครั้งเดียว — ไม่ต้องดีพลอย ไม่ต้องแก้โค้ด ไม่มีไฟล์บนดิสก์ให้ diff CodeWall กล่าวว่าการทดสอบของบริษัทเองเป็นเพียงการตรวจสอบยืนยันเท่านั้น: อ่านอย่างเดียว ไม่ได้เขียน และระบุว่าไม่มีบริการในโปรดักชันใดถูกรบกวน

สิ่งที่ McKinsey กล่าวในวันเดียวกัน

โฆษกของ McKinsey กล่าวกับ The Register เมื่อวันที่ 9 มีนาคมว่า บริษัทได้แก้ไขปัญหาทั้งหมดที่ CodeWall ระบุไว้ภายในไม่กี่ชั่วโมงหลังจากทราบเรื่อง “การสอบสวนของเรา ซึ่งได้รับการสนับสนุนจากบริษัทผู้เชี่ยวชาญด้านนิติวิทยาศาสตร์ดิจิทัลชั้นนำจากบุคคลที่สาม ไม่พบหลักฐานว่าข้อมูลลูกค้าหรือข้อมูลที่เป็นความลับของลูกค้าถูกเข้าถึงโดยนักวิจัยรายนี้หรือบุคคลที่สามที่ไม่ได้รับอนุญาตรายอื่นใด” โฆษกกล่าว พร้อมเสริมว่า “ระบบความปลอดภัยไซเบอร์ของ McKinsey มีความแข็งแกร่ง”

Silicon UK รายงานจุดยืนเดียวกันเมื่อวันที่ 13 มีนาคม ในบทความของ Matthew Broersma ว่า McKinsey กล่าวว่า "เพิ่งได้รับแจ้งจากนักวิจัยด้านความปลอดภัยเกี่ยวกับช่องโหว่ที่เกี่ยวข้องกับเครื่องมือ AI ภายในของเรา Lilli" ว่า "ยืนยันช่องโหว่ดังกล่าวอย่างรวดเร็วและแก้ไขปัญหาภายในไม่กี่ชั่วโมง" และไม่มีข้อมูลลูกค้าหรือข้อมูลที่เป็นความลับของลูกค้าถูกเข้าถึง รายงานนั้นยังระบุด้วยว่า Price เป็นพนักงานเพียงคนเดียวของ CodeWall ซึ่งเป็นรายละเอียดที่ควรนำมากล่าวถึงเพราะเป็นดาบสองคม — ทีมวิจัยคนเดียวค้นพบภายในสองชั่วโมงในสิ่งที่เครื่องสแกนของบริษัทเองไม่พบ และทีมคนเดียวก็กำลังขายเครื่องมือที่ใช้ค้นพบช่องโหว่นั้นเช่นกัน

สองเรื่องเล่าเกี่ยวกับการแก้ไข ห่างกันหนึ่งวัน

ไทม์ไลน์การเปิดเผยข้อมูลของ CodeWall เองมีลำดับดังนี้: เอเจนต์ระบุช่องโหว่ SQL injection และเริ่มแจกแจงฐานข้อมูลโปรดักชันเมื่อวันที่ 28 กุมภาพันธ์; ห่วงโซ่การโจมตีทั้งหมดได้รับการยืนยันในวันเดียวกัน โดยมีข้อค้นพบ 27 รายการที่บันทึกไว้; อีเมลแจ้งการเปิดเผยอย่างรับผิดชอบถูกส่งไปยังทีมความปลอดภัยของ McKinsey เมื่อวันที่ 1 มีนาคม พร้อมสรุปผลกระทบในระดับสูง; ประธานเจ้าหน้าที่ความมั่นคงปลอดภัยสารสนเทศของบริษัทตอบรับการรับเรื่องและขอหลักฐานโดยละเอียดเมื่อวันที่ 2 มีนาคม; และในวันที่ 2 มีนาคม ปลายทางที่ไม่ได้ยืนยันตัวตนทั้งหมดได้รับการแพตช์และตรวจสอบยืนยันแล้ว สภาพแวดล้อมการพัฒนาถูกนำออฟไลน์ และเอกสาร API สาธารณะถูกบล็อก การเปิดเผยต่อสาธารณะเกิดขึ้นในวันที่ 9 มีนาคม

คำชี้แจงของ McKinsey คือการแก้ไขเกิดขึ้นภายในไม่กี่ชั่วโมงหลังจากได้รับแจ้ง ไทม์ไลน์ของ CodeWall ระบุว่าแพตช์เกิดขึ้นในวันถัดจากอีเมลแจ้งช่องโหว่ของตน ทั้งสองฝ่ายต่างมีคำกล่าวที่เป็นทางการ ไม่มีฝ่ายใดทำให้คำกล่าวทั้งสองสอดคล้องกัน และบทความนี้ไม่ได้พยายามทำเช่นนั้น: ความแตกต่างอยู่ระหว่างการแก้ไขภายในวันเดียวกันกับการแก้ไขในวันถัดไป และลำดับที่สำคัญ — ได้รับแจ้ง จากนั้นแพตช์ จากนั้นเผยแพร่ — ไม่ได้เป็นที่โต้แย้ง

ที่มีอยู่แล้ว แหล่งเดียว และช่องว่างระหว่างทั้งสอง

ข้อเท็จจริงที่ได้รับการยืนยันและทั้งสองฝ่ายเห็นชอบร่วมกัน: มีจุดอ่อนด้านความปลอดภัยที่ไม่มีการตรวจสอบสิทธิ์ (unauthenticated) อยู่ในพื้นผิว API สาธารณะของ Lilli; จุดอ่อนนี้ถูกค้นพบโดยนักวิจัยด้านความปลอดภัยจากภายนอก ไม่ใช่บุคคลภายในองค์กร; McKinsey ยืนยันและได้แก้ไขช่องโหว่ดังกล่าวแล้ว; ปลายทาง (endpoints) ที่ไม่มีการตรวจสอบสิทธิ์ถูกปิด สภาพแวดล้อมการพัฒนาถูกนำออฟไลน์ และเอกสาร API สาธารณะถูกบล็อก

มีแหล่งเดียว จาก CodeWall: จำนวนทั้งหมดข้างต้น ไทม์ไลน์สองชั่วโมง การวนซ้ำแบบไม่เห็นข้อมูล 15 รอบ ข้อค้นพบที่บันทึกไว้ 27 รายการ และข้อกล่าวอ้างว่าพรอมป์ต์สามารถเขียนได้ผ่านอินเจกชันเดียวกัน ไม่มีส่วนใดถูกหักล้าง และไม่มีส่วนใดได้รับการตรวจสอบยืนยันอย่างเป็นอิสระเช่นกัน เนื่องจากเพย์โหลดที่จะทำให้ผู้อื่นตรวจสอบได้นั้นไม่ได้ถูกเผยแพร่ และ Price ปฏิเสธที่จะให้พรอมป์ต์ที่แน่นอนซึ่งทีมของเขาใช้แก่ The Register

Promptfoo บริษัทด้านความปลอดภัยของ AI ได้เผยแพร่การประเมินเมื่อวันที่ 10 มีนาคม ซึ่งระบุขีดจำกัดไว้อย่างชัดเจนว่า บันทึกสาธารณะ "ไม่ได้พิสูจน์จำนวนแถวที่รายงานไว้ทุกจำนวนหรือทุกขั้นตอนของการใช้ช่องโหว่ได้อย่างเป็นอิสระ" แม้ว่าจะสนับสนุนลักษณะโดยรวมของเหตุการณ์ก็ตาม นั่นคือการตีความที่ถูกต้องของข้อมูลที่มีอยู่ ประเภทของบั๊กสามารถสร้างขึ้นใหม่ได้ ส่วนขนาดนั้นเป็นคำให้การ

ความเสียหายที่บันทึกไม่ได้ระบุไว้

นี่คือจุดที่การให้เกรดของ archive ทำงานจริง ๆ เส้นทางสองชั่วโมงสู่สิทธิ์เข้าถึงแบบอ่านและเขียนภายในฐานข้อมูลโปรดักชันของผู้ช่วยที่ใช้ทั่วทั้งบริษัทฟังดูเหมือนบันทึกความเสียหาย แต่ archive ไม่ได้บันทึกไว้เลย ข้อสรุปนี้ตั้งอยู่บนสามสิ่ง ได้แก่ คำแถลงของ McKinsey ที่ว่าการสอบสวนทางนิติเวชโดยบุคคลที่สามไม่พบหลักฐานว่ามีการเข้าถึงข้อมูลของลูกค้า คำแถลงของ CodeWall ที่ว่าการทดสอบของตนเป็นการตรวจสอบยืนยันเท่านั้นและไม่ได้รบกวนสิ่งใด และการไม่พบข้อค้นพบที่ขัดแย้งกันในเนื้อหาข่าวที่ได้รับการตรวจทานสำหรับบทความนี้

ข้อนี้ไม่ได้อาศัยการตรวจสอบทางเทคนิคโดยอิสระ คำวินิจฉัยของหน่วยงานกำกับดูแล หรือการแจ้งเหตุละเมิด ไม่มีการกำหนดหมายเลข CVE ในเนื้อหาที่ตรวจทานใด ๆ — Lilli เป็นซอฟต์แวร์ภายใน ไม่ใช่ผลิตภัณฑ์ที่เผยแพร่ทั่วไป และไม่มีประกาศคำแนะนำด้านความปลอดภัยใดระบุชื่อไว้ — และดูเหมือนว่าจะไม่มีหน่วยงานกำกับดูแลใดเปิดเรื่องตรวจสอบ ไม่พบหลักฐานสาธารณะในเนื้อหาที่ตรวจทานสำหรับบทความนี้ว่าข้อมูลถูกนำไปใช้ ขาย หรือเปิดเผยเพิ่มเติม นี่คือความหมายของ “ไม่มีการบันทึกความเสียหายที่แท้จริง” ในที่นี้: เป็นข้อความเชิงหลักฐานเกี่ยวกับบันทึกหนึ่ง ๆ ไม่ใช่ข้อสรุปว่าการเปิดเผยข้อมูลนั้นปลอดภัย

ช่องว่างนี้สำคัญ เพราะความเสี่ยงที่น่าสนใจคือความเสี่ยงที่อาจเกิดขึ้นในอนาคต การเข้าถึงแบบอ่านเผยให้เห็นสิ่งที่อยู่ตรงนั้น ส่วนการเข้าถึงแบบเขียนในชั้นพรอมต์เผยให้เห็นสิ่งที่ผู้ช่วยจะพูดต่อไป — คำแนะนำที่ถูกวางยาพิษ การถอดกลไกป้องกัน และข้อมูลที่เป็นความลับที่ถูกสอดแทรกเข้าไปในคำตอบ ซึ่งที่ปรึกษานำไปวางในเอกสารของลูกค้า CodeWall อธิบายว่าผลลัพธ์เหล่านั้นเปิดให้ใครก็ตามที่มีสิทธิ์เข้าถึงแบบเดียวกันลงมือทำได้ ยังไม่มีใครแสดงให้เห็นว่าสิ่งเหล่านั้นถูกนำไปใช้จริง ข้อความทั้งสองเป็นจริงพร้อมกันได้: ความสามารถนั้นมีอยู่จริง และอันตรายยังไม่เกิดขึ้นจริงตามหลักฐานที่ใคร ๆ เผยแพร่

เหตุใดจึงถูกบันทึกไว้ในหมวดโครงสร้างพื้นฐาน ไม่ใช่ความล้มเหลวของโมเดล

คลังข้อมูลติดแท็กบันทึกนี้ว่า INFRA และบันทึกทางเทคนิคก็สนับสนุนแท็กนี้ ไม่มีส่วนใดในคำอธิบายของ CodeWall ที่ต้องอาศัยการหลอกโมเดล ไม่มีการ jailbreak ไม่มี prompt injection จากเอกสาร และไม่มีอินพุตแบบ adversarial ที่ผู้ช่วยถูกขอให้กลืนเข้าไป จุดเข้าถึงคือเอกสารที่เปิดเผยอยู่ การตรวจสอบสิทธิ์ที่ขาดหายไป และการสร้าง SQL ที่ไม่ปลอดภัย โมเดลเป็นเพียงสิ่งที่มีค่าที่สุดอยู่หลังประตูบานนั้น

การวิเคราะห์ของ Promptfoo เมื่อวันที่ 10 มีนาคม ได้แยกความแตกต่างแบบเดียวกันจากมุมมองฝ่ายป้องกัน โดย Lilli “ดูจากบันทึกสาธารณะแล้ว เหมือนเหตุการณ์ความปลอดภัยของแอปพลิเคชันที่ลุกลามไปถึงระบบ AI ไม่ใช่การเจาะระบบโมเดล (model jailbreak)” และหลายสิ่งที่ถูกเรียกว่าความปลอดภัย AI ยังคงเป็นความปลอดภัยของซอฟต์แวร์ ความปลอดภัยของข้อมูล และการกำกับดูแลการกำหนดค่า ส่วนที่จำเพาะต่อ AI คือขอบเขตผลกระทบ ไม่ใช่การละเมิด — เพราะพรอมป์ต กฎการกำหนดเส้นทาง และการตั้งค่าการดึงข้อมูลเป็นข้อมูลแอปพลิเคชันที่แก้ไขได้ สิทธิ์ในการเขียนฐานข้อมูลจึงกลายเป็นความสามารถในการเปลี่ยนพฤติกรรมของผู้ช่วยโดยไม่ต้องแตะโค้ด

มีอะไรเปลี่ยนแปลงไปหลังจากนั้น

การเปลี่ยนแปลงที่เป็นรูปธรรมคือสิ่งที่ทั้งสองฝ่ายบรรยายตรงกัน: endpoint ที่ไม่ต้องยืนยันตัวตนถูกปิดและตรวจสอบแล้ว สภาพแวดล้อมการพัฒนาถูกนำออฟไลน์ และเอกสาร API สาธารณะถูกบล็อก McKinsey กล่าวว่าพบช่องโหว่ดังกล่าว ยืนยันแล้ว และแก้ไขแล้ว และจุดยืนต่อสาธารณะของบริษัทคือไม่มีข้อมูลของลูกค้าถูกเข้าถึง

สิ่งที่ไม่เปลี่ยนแปลงคือการเปิดเผยในวงกว้างที่เหตุการณ์นี้ได้บรรยายไว้ บทวิเคราะห์ของ CodeWall จบลงด้วยการโต้แย้งว่าพรอมต์ถูกจัดเก็บไว้ในฐานข้อมูล ส่งผ่าน API และแคชไว้ในไฟล์คอนฟิก และแทบไม่มีการควบคุมการเข้าถึง ประวัติเวอร์ชัน หรือการตรวจสอบความสมบูรณ์ — ซึ่งเป็นข้อกล่าวอ้างเกี่ยวกับอุตสาหกรรม ไม่ใช่ข้อค้นพบเกี่ยวกับ McKinsey และควรอ่านในฐานะข้อโต้แย้งของบริษัทที่ขายบริการทดสอบอัตโนมัติอย่างต่อเนื่อง บริษัทอยู่ในช่วงพรีวิวระยะเริ่มต้นและกำลังมองหาพันธมิตรด้านการออกแบบ; การเปิดเผยครั้งนี้จึงทำหน้าที่เป็นการสาธิตไปในตัว

สิ่งที่บันทึกเหลือไว้แคบกว่าและมีประโยชน์กว่าข้อโต้แย้ง ผู้ช่วยที่ใช้ทั่วทั้งบริษัท ฐานข้อมูลโปรดักชัน สองชั่วโมง ไม่มีข้อมูลรับรอง และข้อความเรื่องความเสียหายที่อ่านแล้วเป็นเท็จ เพราะทั้งสองฝ่ายที่เข้าถึงข้อเท็จจริงต่างกล่าวว่าข้อมูลนั้นไม่ได้ถูกใช้ ตัวเลขเหล่านั้นเป็นของฝ่ายใดฝ่ายหนึ่งในสองฝ่ายนั้น ส่วนช่องโหว่เป็นของทั้งสองฝ่าย