افشای ۲۶۷۲ سند کارآزمایی بالینی کره جنوبی از طریق ChatGPT بدون نیاز به ورود؛ اسرار شرکتی و داده‌های شخصی در معرض خطر قرار گرفت
یک بررسی نشان داده است که ۲۶۷۲ سند مرتبط با کارآزمایی‌های بالینی که تحت مدیریت وزارت ایمنی غذا و داروی کره جنوبی (MFDS) قرار داشتند، بدون نیاز به ورود جداگانه یا وارد کردن گذرواژه، از طریق ChatGPT برای دانلود خارجی قابل دسترسی بوده‌اند. این اسناد حاوی اطلاعات غیرعمومی شرکت‌ها و حتی شماره تلفن همراه افراد مسئول بودند؛ موضوعی که اعتماد به چارچوب کلی حفاظت از داده‌های وزارتخانه را خدشه‌دار کرده است.
لی سو-هی، نماینده حزب قدرت مردم، در جریان جلسه حسابرسی پارلمانی وزارت ایمنی غذا و دارو در کمیته بهداشت و رفاه مجلس ملی در روز ۱۳ اعلام کرد که دفتر او با وجود اینکه نتوانسته بود حتی یک سند عمومی را در صفحه نتایج «ایمنی دارو کره» پیدا کند، توانسته است ۲۶۷۲ سند نتایج کارآزمایی بالینی را دانلود کند. او توضیح داد که برای دسترسی به این فایل‌ها هیچ هک یا روش نفوذ تخصصی مورد استفاده قرار نگرفته و تنها از ChatGPT که در دسترس عموم قرار دارد استفاده شده و هیچ ورود کاربری یا گذرواژه‌ای لازم نبوده است.
از میان اسناد به‌دست‌آمده، ۸۳۹ سند شامل اطلاعات شرکتی طبقه‌بندی‌شده به‌عنوان غیرعمومی بودند و ۲۲۰۸ سند نیز شماره تلفن همراه افراد مسئول را در خود داشتند. در عمل، اطلاعات اصلی شرکت‌ها و داده‌های شخصی که قرار نبود به‌صورت عمومی منتشر شوند، در معرض دسترسی خارجی قرار گرفته بودند.
لی سو-هی با انتقاد از این وضعیت گفت: «به مجلس گفته شد که درِ این اطلاعات به دلیل وجود اسرار شرکتی قفل است، اما افراد خارج از مجموعه آزادانه می‌توانستند فایل‌ها را دریافت کنند. اگر این اطلاعات قابل انتشار است، چرا به مردم نشان داده نشد؟ و اگر نباید منتشر می‌شد، چرا دسترسی به آن مسدود نشده بود؟»
او یو-کیونگ، رئیس وزارت ایمنی غذا و داروی کره جنوبی، اعلام کرد که این وزارتخانه روز گذشته از نشت داده‌ها مطلع شده است. او گفت: «ما دسترسی را صبح زود مسدود کردیم و در حال بررسی جامع موضوع هستیم. بابت کاستی‌های موجود عذرخواهی می‌کنم.»
استانداردهای محرمانگی شرکتی و درخواست افشای اطلاعات جنسل
این مسئله همچنین به بحثی درباره نحوه اجرای واقعی استانداردهای حفاظت از «اسرار شرکتی» در وزارت ایمنی غذا و دارو تبدیل شده است. ماده ۸۸ قانون امور دارویی کره جنوبی تصریح می‌کند که اطلاعات دارویی باید در اصل محرمانه باقی بماند، اما در صورت ضرورت برای منافع عمومی می‌تواند افشا شود. با این حال، مشخص شده است که وزارتخانه از سال ۲۰۱۶ عملاً این بند را اجرا نکرده است.
لی سو-هی به‌طور مشخص پرسید آیا وزارتخانه در مورد افشای اسناد مرتبط با جنسل، بررسی‌ای برای سنجش منافع عمومی در برابر منافع خصوصی انجام داده است یا خیر. زمانی که از او یو-کیونگ پرسیده شد آیا اسناد بررسی واقعی وجود دارد، او پاسخ داد: «چنین اسنادی وجود ندارد.» لی سو-هی با اشاره به احکام دادگاه درباره بنیان‌گذار جنسل و روند تأیید کارآزمایی بالینی این شرکت تأکید کرد: «موضوع این است که بررسی کنیم وزارتخانه چگونه و بر چه مبنایی پرونده‌ای را ارزیابی و تأیید کرده است؛ پرونده‌ای که در آن ادعای دریافت مجوز کارآزمایی بالینی با استفاده از داده‌های جعلی و حذف‌شده، منجر به صدور حکم محکومیت شده است.»
در جریان حسابرسی، زمانی که لی سو-هی پرسید «آیا می‌توانیم اسنادی را که به دست آورده‌ایم منتشر کنیم؟»، او یو-کیونگ پاسخ داد: «فکر می‌کنم باید آنها را نابود کنید.» لی سو-هی از وزارتخانه خواست گزارشی کتبی درباره مسدود شدن دسترسی خارجی به داده‌های غیرعمومی کارآزمایی‌های بالینی، زمان دقیق اطلاع از حادثه و مسدودسازی دسترسی، و شرایط تماس با رسانه‌ها ارائه کند؛ همچنین خواستار حفظ سوابق مرتبط، انجام تحقیقات کامل درباره دانلودهای خارجی، و ارائه اسناد بررسی افشای اطلاعات با منافع عمومی درباره جنسل، مدارک تأیید، و همچنین اسناد بررسی‌شده با حذف اطلاعات مربوط به اسرار تجاری شد.
پیامدهای صنعتی و چالش‌های پیش رو
این حادثه افشا می‌تواند به مشکلاتی در اعتماد به مدیریت داده‌های کارآزمایی‌های بالینی در شرکت‌های دارویی و زیست‌فناوری منجر شود. اسناد نتایج کارآزمایی‌های بالینی معمولاً شامل داده‌های اصلی توسعه داروهای جدید، طراحی مطالعات و اطلاعات ایمنی هستند و در صورت افشا برای رقبا یا نهادهای خارجی، می‌توانند مستقیماً بر ارزش شرکت‌ها تأثیر بگذارند.
وزارت ایمنی غذا و داروی کره جنوبی اعلام کرده است که بررسی جامعی درباره سیستم مدیریت داده‌های خود، از جمله شرایطی که امکان دسترسی خارجی را فراهم کرده و احتمال افشای اطلاعات بیشتر را دربر داشته، انجام می‌دهد. با این حال، کارشناسان اشاره می‌کنند که با توجه به دشواری عملی در ردیابی مسیر توزیع اسنادی که پیش‌تر دانلود شده‌اند یا بازگرداندن آنها، اقدامات حفاظتی بعدی برای شرکت‌ها و کارکنان آسیب‌دیده ضروری خواهد بود.