Chroma Veritabanı Güvenliği: Arama Motoru Sayılarına Güvenme

Chroma, embedding ve dokümanlara dayalı vektör veritabanıdır. Şirketler bunu kendi sunucularında tutarlar: müşteri kayıtları, model çıktıları, hassas bağlam, hepsi içeride. Eğer sunucu internete açıksa, bu bir veri sınırı sorunu olur.

Geçen ayın sonunda ZoomEye'da "Chroma" başlığı aranınca 1.215 sonuç çıktı. Görünüşe göre 1.215 Chroma sunucusu erişilebilir durumda, değil mi? Hayır. O sayı belgelendirme sayfaları, alakasız web siteleri, hatta Chroma'yı bahseden blog yazılarını da içeriyor. Gerçekten kaç veritabanı orada ve erişilebilir, hiç bilemezsin.

Sorun şu: arama motoru "app=Chroma" (kesin ürün imzası) aradığında sıfır sonuç veriyor. Ama bu, Chroma dağıtımının olmadığı anlamına gelmez. Ters proxy, özel health response ya da başka bir yapılandırma kullanırsan, motora görünmezsin. Yani sayı, güvenlik değerlendirmesi için yeterli değil.

Johnet Taga Weraks'ın yazısında vurguladığı nokta: kesin ürün parmak izi (fingerprint) ile sorgulamak çok dar bir soru soruyor. Sıfır sonuç, seçili kapsamda o imza görülmedi anlamına gelir, başka hiçbir şey değil.

Gerçek risk değerlendirmesi koleksiyon verilerine bakarak başlamalı. Sunucunun API'si açıksa, içindeki belgeler okunabilir mi? Metadata ne kadar hassas? Arama motoru sayıları bu soruları cevaplamaz. Pratik olarak, kendi Chroma dağıtımlarını kontrol etmek, API erişimini kısıtlamak ve ağ segmentasyonu yapmak çok daha etkili bir savunmadır.