Akses AI kepada 2,672 Fail Ujian Klinikal Terhad Meletakkan Pengawal Selia Ubat Korea Selatan di Bawah Penelitian

Fail Terhad Boleh Diakses Tanpa Log Masuk

Kementerian Keselamatan Makanan dan Ubat Korea Selatan berdepan penelitian selepas ahli parlimen Lee Sohee berkata pejabatnya memuat turun 2,672 dokumen ujian klinikal daripada sistem maklumat ubat pengawal selia menggunakan perkhidmatan kecerdasan buatan generatif yang tersedia kepada umum, tanpa log masuk, memasukkan kata laluan atau menceroboh pelayan.

Angka yang dibentangkan pada audit Jawatankuasa Kesihatan dan Kebajikan Dewan Negara pada 13 Oktober 2026 menunjukkan dua risiko berbeza. Daripada dokumen yang diperoleh, 839 mengandungi maklumat syarikat yang ditetapkan sebagai sulit, manakala 2,208 mengandungi nombor telefon bimbit kakitangan yang bertanggungjawab terhadap penyerahan dokumen. Maklumat lain termasuk nama, alamat e-mel, keputusan penilaian dan kumpulan peserta yang terlibat dalam analisis ujian klinikal.

Lee, anggota jawatankuasa daripada Parti Kuasa Rakyat, berkata dokumen itu berasal daripada penyerahan oleh syarikat farmaseutikal, hospital, universiti dan institusi penyelidikan. Maklumat kelihatan disembunyikan pada laman web awam, tetapi masih boleh diakses dalam fail yang mendasarinya.

Pengawal selia berkata pihaknya sedang menyiasat punca kejadian dan sama ada maklumat yang terdedah itu merupakan data keputusan ujian klinikal sebenar. Pesuruhjayanya, Oh Yoo-kyung, memberitahu audit parlimen bahawa akses telah disekat pada awal pagi itu dan agensi berkenaan sedang meneliti sistem yang lebih luas.

Isu utama ialah jurang antara keputusan kerahsiaan dengan pelaksanaannya dari segi teknikal. Pejabat Lee berkata agensi itu berulang kali menolak permintaan parlimen untuk mendapatkan rekod ujian klinikal dan kelulusan, termasuk lima permintaan daripada pejabatnya pada tahun tersebut. Dokumen yang tidak dapat diperoleh melalui saluran pemantauan rasmi bagaimanapun boleh didapatkan dari luar.

Laluan akses yang dilaporkan tidak didedahkan. Pendedahan dibuat selepas pengawal selia dimaklumkan dan memberi jaminan bahawa muat turun seumpamanya telah dihentikan, menjadikan siasatan tertumpu pada tahap pendedahan dan tindak balas, bukannya arahan untuk mengulangi kaedah itu.

Makna Di Sebalik Jumlah Dokumen

Jumlah 2,672 dokumen itu merujuk kepada koleksi yang diperoleh pejabat Lee, bukan jumlah muktamad semua fail yang mungkin boleh diakses. Tiada inventori lengkap sistem terjejas atau jumlah keseluruhan muat turun oleh pengguna lain yang diumumkan setakat ini dalam laporan audit.

Dokumen yang mengandungi nombor telefon bimbit berjumlah 2,208, iaitu kira-kira 82.6% daripada koleksi tersebut. Sebanyak 839 dokumen yang mengandungi maklumat sulit syarikat pula mewakili kira-kira 31.4%. Kategori itu mungkin bertindih, maka jumlah kedua-duanya tidak memberikan angka sah bagi dokumen terjejas yang berasingan.

Angka tersebut ialah jumlah dokumen, bukannya jumlah individu atau syarikat. Maklumat hubungan seseorang mungkin muncul dalam beberapa fail, dan satu dokumen boleh mengandungi maklumat lebih daripada seorang individu. Oleh itu, bilangan individu yang maklumatnya terdedah masih belum diketahui.

Kandungan yang dihuraikan oleh pejabat Lee melangkaui maklumat hubungan. Dokumen dilaporkan mengandungi dapatan tentang keberkesanan ubat dan kesan buruk yang serius. Keputusan penilaian serta maklumat tentang populasi analisis turut ditemui dalam fail yang diperiksa. Populasi analisis ialah kumpulan peserta ujian yang datanya dimasukkan dalam pengiraan tertentu, seperti penilaian keberkesanan atau keselamatan.

Walaupun insiden ini menyusuli laporan berasingan tentang pendedahan maklumat pesakit dan pekerja di beberapa hospital universiti kebangsaan, tiada kaitan teknikal yang terbukti antara kes-kes tersebut dengan kes ini. Insiden ini juga belum terbukti melibatkan rekod peserta ujian yang boleh dikenal pasti. Maklumat peribadi yang dihuraikan secara khusus di sini berkaitan kakitangan dan individu untuk dihubungi berhubung penyerahan dokumen.

Peranan AI dan Perkara yang Masih Belum Diketahui

Dalam audit itu, Lee mengenal pasti ChatGPT sebagai perkhidmatan yang digunakan untuk mendapatkan fail daripada platform maklumat ubat yang dikenali sebagai Uiyakpum Safety Korea. Huraian lain merujuk secara lebih umum kepada AI generatif. Menurut keterangannya, muat turun itu tidak memerlukan pengesahan identiti atau penggodaman.

AI generatif boleh membantu pengguna berinteraksi dengan perkhidmatan maklumat, tetapi penglibatannya tidak membuktikan bahawa sistem itu berjaya memintas kawalan keselamatan. Sebaliknya, keterangan tersebut menunjukkan fail boleh diperoleh walaupun statusnya di laman web adalah terhad. Menyembunyikan maklumat daripada paparan laman yang kelihatan tidak sama dengan menghalang akses kepada dokumen yang mengandungi maklumat itu.

Kegagalan teknikal yang tepat masih belum dikenal pasti. Pengawal selia belum mengumumkan sama ada masalah itu berpunca daripada kebenaran dokumen, cara fail disediakan atau bahagian lain dalam perkhidmatan tersebut. Oleh itu, terlalu awal untuk menyifatkan kelemahan perisian tertentu sebagai punca yang telah disahkan.

Amaran Lee bahawa pesaing asing atau kumpulan penggodam mungkin telah memperoleh bahan itu merujuk kepada potensi jangkauan pendedahan tersebut. Ia bukan bukti bahawa mana-mana kumpulan itu benar-benar memuat turunnya. Penentuan pihak yang mengakses fail memerlukan pemeriksaan rekod sistem.

Garis Masa Pemberitahuan dan Sekatan Akses Dipertikaikan

Pertukaran dalam parlimen mendedahkan jurang antara waktu pejabat Lee berkata pihaknya memaklumkan agensi itu dengan waktu pesuruhjayanya berkata beliau mengetahui tentang insiden tersebut. Urutan yang dihuraikan dalam audit pada 13 Oktober ialah:

• 11 Oktober 2026: Lee berkata pejabatnya memaklumkan pengawal selia melalui permintaan maklumat, tetapi tidak menerima jawapan substantif.
• 12 Oktober: Oh berkata agensi itu mengetahui tentang pendedahan data tersebut. Beliau menyebut mesyuarat pada malam itu serta arahan supaya pejabat ahli parlimen berkenaan dihubungi dengan segera.
• Awal 13 Oktober: Oh berkata kebenaran akses telah disekat.
• 13 Oktober: Lee membentangkan jumlah dokumen dalam audit Dewan Negara dan menuntut laporan bertulis mengenai tindak balas agensi.

Laporan yang diterbitkan pada 13 Oktober menyatakan pendedahan dibuat selepas pengawal selia berkata pihaknya telah menghentikan muat turun seumpamanya. Urutan itu menyokong kenyataan agensi bahawa langkah sekatan telah dilaksanakan sebelum penerbitan, tetapi tidak mengesahkan secara bebas sejauh mana langkah tersebut menyeluruh.

Waktu tepat pemberitahuan, pengesanan dan sekatan akses merupakan antara butiran yang diminta Lee supaya diberikan oleh agensi secara bertulis sebelum audit berakhir. Waktu-waktu itu penting kerana dapat menunjukkan berapa lama akses berterusan selepas amaran diterima pengawal selia dan sama ada amaran itu segera disampaikan kepada pihak yang bertanggungjawab terhadap sistem.

Akses Parlimen dan Pengecualian Kepentingan Awam

Insiden keselamatan itu turut menajamkan pertikaian mengenai penggunaan peraturan kerahsiaan oleh pengawal selia. Lee berkata dokumen ujian klinikal, kebenaran dan semakan telah dinafikan kepada Dewan Negara sepanjang dekad sebelumnya, dengan bantahan syarikat antara alasan yang diberikan untuk menolak lima permintaan pejabatnya pada 2026.

Perincian lebih khusus yang dibentangkan dalam audit itu berkaitan senarai 96 kes pendedahan sepanjang sepuluh tahun. Menurut Lee, 95 daripadanya kekal sulit. Satu-satunya kes yang didedahkan dibuat atas permintaan syarikat, bukannya hasil keputusan bebas pengawal selia bahawa pendedahan perlu demi kepentingan awam.

Perbezaan itu menjelaskan jurang antara dakwaan umum bahawa tiada rekod pernah didedahkan dengan angka yang menunjukkan satu pendedahan. Angka audit itu merekodkan satu pendedahan dalam kes yang disenaraikan, tetapi tiada pendedahan yang dibuat berdasarkan keputusan kepentingan awam. Angka tersebut tidak menentukan status setiap rekod yang disimpan oleh agensi itu.

Lee berhujah bahawa Akta Hal Ehwal Farmaseutikal membenarkan pendedahan apabila kepentingan awam memerlukannya, tetapi pengecualian itu pada hakikatnya tidak pernah digunakan. Pertikaian itu melibatkan rekod tentang kesan buruk ubat dan insiden perubatan, serta bahan kebenaran dan semakan vaksin dan rawatan yang diminta oleh ahli parlimen.

Apabila ditanya sama ada terdapat dokumen dalaman yang merekodkan perbandingan agensi antara kerahsiaan komersial dengan kepentingan awam dalam keputusan pendedahan yang dipertikaikan itu, Oh berkata tiada dokumen sedemikian. Jawapan itu menyukarkan penelitian terhadap asas keputusan tersebut, walaupun dengan sendirinya tidak membuktikan bahawa pertimbangan langsung tidak dibuat.

Mengapa Kes Genencell Menjadi Perhatian dalam Perbahasan

Permintaan berkaitan Genencell menjadi tumpuan khusus dalam cabaran Lee terhadap pengawal selia. Pengasas syarikat itu dilaporkan dijatuhi hukuman penjara empat tahun pada peringkat rayuan selepas disabitkan atas kesalahan menyerahkan maklumat palsu, atau maklumat yang tidak mengandungi butiran penting, untuk mendapatkan kelulusan ujian klinikal rawatan COVID.

Lee secara jelas membezakan sabitan itu daripada dapatan bahawa kelulusan pengawal selia itu sendiri tidak wajar. Tujuan yang dinyatakannya adalah untuk meneliti cara agensi menyemak penyerahan dokumen, maklumat tambahan yang dimintanya dan bukti yang menyokong keputusannya.

Menurut Lee, pengawal selia menolak permintaan bahan semakan Genencell atas alasan kerahsiaan komersial. Perbezaan dengan dokumen yang boleh diakses dari luar menjadikan penolakan itu lebih dipertikaikan: agensi mempertahankan sekatan terhadap pendedahan rasmi sambil berdepan bukti bahawa perlindungan teknikalnya tidak menguatkuasakan kerahsiaan secara konsisten.

Bagaimanapun, sabitan pada peringkat rayuan dan siasatan pendedahan itu menyentuh persoalan yang berlainan. Sabitan tersebut berkaitan tindakan berhubung permohonan ujian. Siasatan keselamatan pula berkaitan akses kepada dokumen dalam sistem pengawal selia. Kedua-duanya tidak menentukan jawapan bagi satu sama lain, dan hubungan tepat antara koleksi yang dimuat turun dengan rekod Genencell yang diminta tidak dinyatakan.

Tindak Balas Agensi Turut Diteliti

Lee turut mempersoalkan komunikasi pengawal selia selepas masalah itu dilaporkan. Beliau berkata pegawai agensi berulang kali menghubungi seorang wartawan untuk bertanya tentang kaedah akses dan meminta penerbitan ditangguhkan atas alasan kemungkinan menjejaskan kepentingan negara, sedangkan mereka tidak segera mendapatkan fakta daripada pejabatnya.

Agensi itu memberikan penjelasan yang berbeza tentang tujuannya. Oh berkata permintaan itu bertujuan mencegah pendedahan lanjut dengan memastikan langkah sekatan dilaksanakan sebelum isu akses itu diketahui umum. Beliau mengakui pejabat ahli parlimen itu sepatutnya dihubungi dengan segera dan memohon maaf kerana penjelasan yang diberikan tidak memadai.

Oh berkata mesyuarat pada malam sebelumnya merangkumi arahan supaya pegawai segera mengunjungi pejabat itu, walaupun pada lewat malam, dan beliau memahami bahawa pegawai perhubungan parlimen telah berkunjung beberapa kali. Urutan tepat perhubungan tersebut masih menjadi antara butiran dalam laporan bertulis yang diminta Lee.

Satu lagi pertukaran berkaitan tindakan yang patut diambil terhadap bahan yang dimuat turun itu. Apabila Lee bertanya sama ada fail boleh didedahkan kepada umum, Oh menjawab bahawa fail itu nampaknya perlu dilupuskan. Lee menjelaskan bahawa beliau tidak mencadangkan penerbitan, sebaliknya bertanya mengapa maklumat yang dianggap begitu sensitif tidak mendorong agensi menghubungi lebih awal pejabat yang memegangnya.

Pertukaran itu menonjolkan dua tanggungjawab: mengehadkan penyebaran lanjut maklumat sulit dan peribadi, serta mengekalkan bukti yang diperlukan untuk menentukan apa yang berlaku. Lee secara berasingan menuntut agar rekod sistem dipelihara serta-merta, kerana rekod itu boleh mendokumenkan akses tanpa perlu mendedahkan fail tersebut dengan lebih meluas.

Perkara yang Perlu Dipastikan dalam Siasatan

Lee menggesa semakan menyeluruh terhadap rekod akses pelayan bagi menentukan siapa yang memuat turun dokumen, bila pendedahan bermula dan mengapa agensi tidak mengesannya. Beliau turut meminta siasatan terhadap kemungkinan kelemahan serupa dalam sistem lain.

Rekod akses boleh membantu menentukan bila fail diminta dan sejauh mana fail itu diperoleh. Namun, rekod tersebut tidak semestinya mengenal pasti setiap individu di sebalik permintaan, khususnya jika log masuk tidak diperlukan. Laporan yang kukuh perlu membezakan permintaan yang direkodkan, muat turun yang berjaya dan identiti yang benar-benar dapat disahkan oleh penyiasat.

Pengawal selia masih perlu mengesahkan jenis rekod yang terdedah, mengenal pasti punca dan menentukan keseluruhan skop maklumat yang terjejas. Tiada tarikh mula pendedahan yang disahkan, jumlah penerima luar atau dapatan tentang penyalahgunaan seterusnya dilaporkan dalam audit tersebut.

Tarikh akhir segera yang ditetapkan Lee ialah penghujung audit parlimen untuk mengemukakan laporan bertulis tentang sekatan akses, pengesanan awal masalah, waktu sebenar sekatan dan hubungan dengan pihak media. Laporan yang tersedia tidak menyatakan tarikh lebih lewat untuk penerbitan siasatan teknikal yang lengkap.

Kes ini merangkumi dua ujian akauntabiliti yang berasingan. Rekod sulit memerlukan perlindungan akses yang berkesan, manakala keputusan menahan dokumen daripada pengawasan yang sah memerlukan asas yang boleh dijelaskan. Menghentikan kaedah muat turun yang dilaporkan menangani laluan pendedahan serta-merta; namun, langkah itu tidak menentukan berapa lama kelemahan tersebut wujud atau menyelesaikan pertikaian mengenai keputusan pendedahan.

Perkara Utama

• Lee Sohee berkata pejabatnya memperoleh 2,672 dokumen ujian klinikal menggunakan ChatGPT tanpa log masuk atau kata laluan.
• Daripada dokumen tersebut, 839 mengandungi maklumat sulit syarikat dan 2,208 mengandungi nombor telefon bimbit kakitangan. Kategori itu mungkin bertindih.
• Pengawal selia berkata akses disekat pada awal 13 Oktober 2026 dan pihaknya sedang menyiasat punca serta jenis maklumat yang terdedah.
• Lee berkata pejabatnya memaklumkan agensi pada 11 Oktober; Pesuruhjaya Oh Yoo-kyung berkata pihaknya mengetahui kejadian itu pada 12 Oktober.
• Senarai pendedahan sepuluh tahun yang dirujuk dalam audit mengandungi 96 kes, dengan 95 kekal sulit dan satu didedahkan atas permintaan syarikat.
• Tempoh pendedahan, jumlah penerima luar dan sebarang penyalahgunaan masih belum disahkan. Lee menuntut supaya rekod dipelihara dan semakan akses menyeluruh dijalankan.