Ang Pag-access ng AI sa 2,672 Pinaghihigpitang File ng mga Klinikal na Pagsubok, Sinisiyasat ng Awtoridad ng South Korea sa mga Gamot

Naa-access ang mga Pinaghihigpitang File Nang Walang Pag-login

Sinisiyasat ang Ministry of Food and Drug Safety ng South Korea matapos sabihin ng mambabatas na si Lee Sohee na nag-download ang kanyang tanggapan ng 2,672 dokumento ng mga klinikal na pagsubok mula sa sistema ng impormasyon sa gamot ng regulator gamit ang isang serbisyong generative artificial intelligence na bukas sa publiko, nang hindi nagla-log in, naglalagay ng password o pumapasok sa server.

Ipinakita ng mga bilang na iniharap sa pagdinig ng National Assembly Health and Welfare Committee noong Oktubre 13, 2026 ang dalawang magkaibang panganib. Sa mga nakuhang dokumento, 839 ang naglalaman ng impormasyong itinakda bilang kumpidensiyal ng mga kumpanya, samantalang 2,208 ang naglalaman ng mga numero ng cellphone ng mga kawani na responsable sa mga isinumite. Kabilang din sa ibang impormasyon ang mga pangalan, email address, resulta ng pagsusuri at mga grupong kalahok na isinama sa mga pagsusuri ng klinikal na pagsubok.

Sinabi ni Lee, miyembro ng komite mula sa People Power Party, na nagmula ang mga dokumento sa mga isinumite ng mga kompanya ng parmasyutiko, ospital, unibersidad at institusyon ng pananaliksik. Mukhang nakatago ang impormasyon sa pampublikong website, ngunit nanatili itong naa-access sa mismong mga file.

Sinabi ng regulator na iniimbestigahan nito ang sanhi at kung aktuwal na datos ng mga resulta ng klinikal na pagsubok ang nalantad. Sinabi ng komisyoner nitong si Oh Yoo-kyung sa pagdinig ng parlamento na hinarangan ang pag-access nang maaga noong umagang iyon at sinusuri ng ahensiya ang mas malawak na sistema.

Ang pangunahing usapin ay ang agwat sa pagitan ng pasiya na panatilihing kumpidensiyal ang impormasyon at ng teknikal na pagpapatupad nito. Sinabi ng tanggapan ni Lee na paulit-ulit na tinanggihan ng ahensiya ang mga kahilingan ng parlamento para sa mga rekord ng klinikal na pagsubok at pag-apruba, kabilang ang limang kahilingan ng kanyang tanggapan noong taong iyon. Gayunman, nakuha mula sa labas ang mga dokumentong hindi makuha sa pormal na mga paraan ng pangangasiwa.

Hindi isinapubliko ang iniulat na paraan ng pag-access. Isinapubliko ang usapin matapos ipaalam ito sa regulator at matapos nitong tiyaking napigilan na ang mga katulad na pag-download. Dahil dito, nakatuon ang imbestigasyon sa lawak ng pagkakalantad at sa naging tugon, sa halip na sa mga tagubilin kung paano ito uulitin.

Ano ang Ipinakikita ng Bilang ng mga Dokumento

Ang 2,672 dokumento ay tumutukoy sa koleksiyong nakuha ng tanggapan ni Lee, hindi sa kumpirmadong bilang ng lahat ng file na maaaring na-access. Wala pang inilalabas na kumpletong talaan ng apektadong sistema o kabuuang bilang ng mga pag-download ng ibang gumagamit batay sa mga ulat tungkol sa pagdinig.

Tinatayang 82.6% ng koleksiyon ang 2,208 dokumentong may mga numero ng cellphone. Tinatayang 31.4% naman ang 839 na naglalaman ng kumpidensiyal na impormasyon ng kumpanya. Maaaring mag-overlap ang mga kategoryang ito, kaya hindi wastong pagsamahin ang mga ito upang makuha ang bilang ng magkakahiwalay na apektadong dokumento.

Bilang ng mga dokumento ang mga ito, hindi bilang ng mga tao o kumpanya. Maaaring lumitaw sa ilang file ang mga detalye sa pakikipag-ugnayan ng iisang tao, at maaaring maglaman ang isang dokumento ng impormasyon tungkol sa mahigit sa isang tao. Kaya hindi alam ang bilang ng mga indibidwal na nalantad ang mga detalye.

Higit pa sa mga detalye sa pakikipag-ugnayan ang laman ng mga dokumentong inilarawan ng tanggapan ni Lee. Iniulat na kabilang sa mga dokumento ang mga natuklasan tungkol sa bisa ng isang gamot at malulubhang masamang reaksiyon. Natagpuan din sa mga sinuring file ang mga resulta ng pagsusuri at impormasyon tungkol sa mga grupong kalahok sa pagsusuri. Ang grupo ng mga kalahok sa pagsusuri ay ang mga kalahok sa pagsubok na isinama ang datos sa isang partikular na kalkulasyon, gaya ng pagtatasa sa bisa o kaligtasan.

Bagaman kasunod ito ng magkakahiwalay na ulat tungkol sa pagkakalantad ng impormasyon ng pasyente at empleyado sa ilang pambansang ospital ng unibersidad, walang naitatag na teknikal na ugnayan ang mga kasong iyon at ang kasong ito. Hindi rin naipakitang may kinalaman ang insidenteng ito sa mga rekord ng mga kalahok sa pagsubok na maaaring makilala ang mga ito. Ang personal na impormasyong partikular na binanggit dito ay tungkol sa mga kawani at contact person ng mga isinumite.

Ano ang Ginampanan ng AI, at Ano ang Hindi Pa Alam

Sa pagdinig, tinukoy ni Lee ang ChatGPT bilang serbisyong ginamit upang kunin ang mga file mula sa plataporma ng impormasyon sa gamot na kilala bilang Uiyakpum Safety Korea. Mas pangkalahatan namang tumukoy sa generative AI ang ibang paglalarawan. Ayon sa salaysay niya, hindi kinailangan ang pagpapatotoo ng pagkakakilanlan o pag-hack upang ma-download ang mga file.

Makakatulong ang generative AI sa isang gumagamit na makipag-ugnayan sa mga serbisyo ng impormasyon, ngunit hindi pinatutunayan ng pagkakasangkot nito na nalampasan ng sistema ang isang panseguridad na kontrol. Sa halip, ipinahihiwatig ng salaysay na nakuha ang mga file kahit pinaghihigpitan ang mga ito sa website. Magkaiba ang pagtatago ng impormasyon sa nakikitang bahagi ng isang pahina at ang pagpigil sa pag-access sa dokumentong naglalaman nito.

Hindi pa naitatatag ang eksaktong teknikal na pagkabigo. Hindi pa isiniwalat ng regulator kung may problema sa mga pahintulot sa dokumento, sa paraan ng paghahatid ng mga file o sa ibang bahagi ng serbisyo. Kaya magiging maaga pa upang tukuyin ang isang partikular na depekto sa software bilang kumpirmadong sanhi.

Ang babala ni Lee na maaaring nakakuha ng materyal ang mga dayuhang kakompetensiya o grupong sangkot sa hacking ay tumutukoy sa posibleng lawak ng pagkakalantad. Hindi ito katibayan na aktuwal itong na-download ng alinman sa mga grupong iyon. Kailangang suriin ang mga rekord ng sistema upang matukoy kung sino ang nag-access sa mga file.

Pinagtatalunang Takdang Panahon ng Pag-abiso at Pagharang

Inilantad ng palitan sa parlamento ang agwat sa pagitan ng panahong sinabi ni Lee na ipinaalam ng kanyang tanggapan ang usapin sa ahensiya at ng panahong sinabi ng komisyoner na nalaman niya ang insidente. Ganito ang pagkakasunod-sunod na inilarawan sa pagdinig noong Oktubre 13:

• Oktubre 11, 2026: Sinabi ni Lee na nagbigay-babala ang kanyang tanggapan sa regulator sa pamamagitan ng kahilingan para sa impormasyon, ngunit wala itong natanggap na makabuluhang tugon.
• Oktubre 12: Sinabi ni Oh na nalaman ng ahensiya ang pagkakalantad ng datos. Inilarawan niya ang isang pulong noong gabing iyon at ang mga tagubiling kaagad makipag-ugnayan sa tanggapan ng mambabatas.
• Maagang bahagi ng Oktubre 13: Sinabi ni Oh na hinarangan ang mga pahintulot sa pag-access.
• Oktubre 13: Iniharap ni Lee ang bilang ng mga dokumento sa pagdinig ng National Assembly at humiling ng nakasulat na ulat tungkol sa naging tugon.

Iniulat noong Oktubre 13 na naganap ang pagsisiwalat matapos sabihin ng regulator na napigilan na nito ang mga katulad na pag-download. Sinusuportahan ng pagkakasunod-sunod na ito ang pahayag ng ahensiya na nagpatupad ito ng hakbang sa pagharang bago isinapubliko ang usapin, ngunit hindi nito kusang pinatutunayan kung gaano kakumpleto ang hakbang.

Kabilang sa mga detalyeng hiniling ni Lee sa ahensiya na ibigay nang nakasulat bago matapos ang pagdinig ang eksaktong oras ng pag-abiso, pagkakatuklas at pagharang. Mahalaga ang mga oras na ito upang matukoy kung gaano katagal nanatiling bukas ang pag-access matapos makatanggap ng babala ang regulator at kung naipasa kaagad ang babala sa mga responsable sa sistema.

Pag-access ng Parlamento at Eksepsiyon para sa Pampublikong Interes

Lalong pinatingkad ng insidente sa seguridad ang pagtatalo tungkol sa paggamit ng regulator sa mga tuntunin sa pagiging kumpidensiyal. Sinabi ni Lee na hindi ibinigay sa National Assembly sa nakalipas na dekada ang mga dokumento ng klinikal na pagsubok, awtorisasyon at pagsusuri. Kabilang sa mga dahilang ibinigay sa pagtanggi sa limang kahilingan ng kanyang tanggapan noong 2026 ang pagtutol ng mga kumpanya.

Isang mas tiyak na talaang iniharap sa pagdinig ang tumukoy sa 96 na kaso ng pagsisiwalat sa loob ng sampung taon. Ayon kay Lee, nanatiling kumpidensiyal ang 95. Inilabas lamang ang natatanging kaso sa kahilingan ng kumpanya, hindi dahil nagpasiya nang mag-isa ang regulator na kailangan itong isiwalat para sa pampublikong interes.

Naipapaliwanag ng pagkakaibang iyon kung bakit may mga pangkalahatang pahayag na walang naisiwalat na rekord, samantalang ipinakikita ng bilang na may isang inilabas. Ipinakikita ng mga bilang sa pagdinig na may isang pagsisiwalat sa mga kasong nakalista, ngunit walang pagsisiwalat batay sa pasiya para sa pampublikong interes. Hindi nito itinatatag ang katayuan ng bawat rekord na hawak ng ahensiya.

Iginiit ni Lee na pinahihintulutan ng Pharmaceutical Affairs Act ang pagsisiwalat kapag hinihingi ito ng pampublikong interes, ngunit halos hindi nagamit ang eksepsiyong ito. Tungkol ang pagtatalo sa mga rekord ng masamang reaksiyon sa gamot at insidenteng medikal, gayundin sa mga materyal tungkol sa awtorisasyon at pagsusuri ng mga bakuna at paggamot na hiniling ng mga mambabatas.

Nang tanungin kung may panloob na dokumentong nagtala sa pagtimbang ng ahensiya sa pagiging kumpidensiyal sa komersiyo at sa pampublikong interes kaugnay ng pinagtatalunang pasiya sa pagsisiwalat, sinabi ni Oh na walang ganoong dokumento. Dahil sa sagot na iyon, mahirap suriin ang batayan ng pasiya, bagaman hindi nito mismo pinatutunayan na walang naganap na pagsasaalang-alang.

Bakit Naging Bahagi ng Pagtatalo ang Kaso ng Genencell

Pangunahing pinagtuunan ni Lee ang mga kahilingan tungkol sa Genencell sa kanyang pagtuligsa sa regulator. Iniulat na sinentensiyahan ng apat na taong pagkakakulong sa apela ang tagapagtatag ng kumpanya matapos hatulang nagkasala sa pagsusumite ng maling impormasyon o impormasyong kulang sa mahahalagang detalye upang makakuha ng pag-apruba para sa klinikal na pagsubok ng paggamot sa COVID.

Partikular na pinag-iba ni Lee ang hatol na iyon sa anumang konklusyong hindi wasto ang mismong pag-apruba ng regulator. Sinabi niyang layunin niyang suriin kung paano sinuri ng ahensiya ang mga isinumite, anong karagdagang impormasyon ang hiningi nito at anong ebidensiya ang batayan ng pasiya nito.

Ayon kay Lee, tinanggihan ng regulator ang hiniling na mga materyal sa pagsusuri ng Genencell dahil sa pagiging kumpidensiyal sa komersiyo. Lalong naging kontrobersiyal ang pagtangging ito dahil sa pagkakaiba sa mga dokumentong naa-access mula sa labas: ipinagtatanggol ng ahensiya ang mga paghihigpit sa pormal na pagsisiwalat habang nahaharap sa ebidensiyang hindi mapagkakatiwalaang naipatupad ng mga teknikal na proteksiyon nito ang pagiging kumpidensiyal.

Magkaibang tanong pa rin ang sinasagot ng hatol sa apela at ng imbestigasyon sa pagkakalantad. Tungkol ang hatol sa asal na may kaugnayan sa aplikasyon para sa pagsubok. Tungkol naman ang imbestigasyon sa seguridad sa pag-access sa mga dokumento sa sistema ng regulator. Walang isa man sa mga ito ang nagtatakda ng sagot sa kabila, at hindi tinukoy ang eksaktong kaugnayan ng na-download na koleksiyon sa mga hiniling na rekord ng Genencell.

Sinuri ang Tugon ng Ahensiya

Kinuwestiyon din ni Lee ang mga pakikipag-ugnayan ng regulator matapos maiulat ang problema. Sinabi niyang paulit-ulit na nakipag-ugnayan ang mga opisyal ng ahensiya sa isang mamamahayag upang magtanong tungkol sa paraan ng pag-access at humiling na ipagpaliban ang paglalathala, na binabanggit ang posibleng pinsala sa pambansang interes, habang hindi kaagad inaalam ang mga pangyayari sa kanyang tanggapan.

Iba naman ang paliwanag ng ahensiya sa layunin nito. Sinabi ni Oh na layunin ng kahilingan na maiwasan ang higit pang pagkakalantad sa pamamagitan ng pagtiyak na naipatupad na ang mga hakbang sa pagharang bago maisapubliko ang usapin ng pag-access. Inamin niyang dapat sana ay kaagad na nakipag-ugnayan ang ahensiya sa tanggapan ng mambabatas at humingi siya ng paumanhin dahil hindi sapat ang naging paliwanag.

Sinabi ni Oh na nagbigay ng tagubilin sa pulong noong nakaraang gabi na agad pumunta sa tanggapan, kahit dis-oras na ng gabi, at naunawaan niyang ilang beses itong pinuntahan ng tagapag-ugnay ng parlamento. Bahagi pa rin ng nakasulat na ulat na hiniling ni Lee ang eksaktong pagkakasunod-sunod ng mga pakikipag-ugnayang ito.

Isa pang palitan ang tumalakay sa dapat gawin sa mga na-download na materyal. Nang tanungin ni Lee kung maaaring isapubliko ang mga file, sumagot si Oh na tila kailangan itong itapon. Nilinaw ni Lee na hindi niya iminumungkahing ilathala ang mga ito. Sa halip, itinatanong niya kung bakit hindi naging dahilan ang pagiging sensitibo ng impormasyon upang mas mabilis na makipag-ugnayan sa tanggapang may hawak nito.

Dalawang pananagutan ang ipinakikita ng palitang iyon: ang pagpigil sa higit pang pagkalat ng kumpidensiyal at personal na impormasyon, at ang pangangalaga sa ebidensiyang kailangan upang malaman ang nangyari. Hiwalay na hiniling ni Lee ang agarang pagpreserba sa mga rekord ng sistema, na maaaring magdokumento ng pag-access nang hindi na kailangang ilabas pa ang mga file.

Ano ang Dapat Matukoy ng Imbestigasyon

Nanawagan si Lee ng masusing pagsusuri sa mga rekord ng pag-access sa server upang malaman kung sino ang nag-download ng mga dokumento, kailan nagsimula ang pagkakalantad at bakit hindi ito natuklasan ng ahensiya. Hiniling din niya ang imbestigasyon kung may katulad na kahinaan sa ibang mga sistema.

Maaaring makatulong ang mga rekord ng pag-access upang malaman kung kailan hiniling ang mga file at kung gaano kalawak ang pagkuha sa mga ito. Hindi nangangahulugang matutukoy ng mga ito ang bawat taong nasa likod ng isang kahilingan, lalo na kung hindi kinailangan ang pag-login. Kailangang maiba sa isang mapananaligang ulat ang mga naitalang kahilingan, mga aktuwal na nakumpletong pag-download at ang mga pagkakakilanlang tunay na mabeberipika ng mga imbestigador.

Kailangan pang kumpirmahin ng regulator ang uri ng mga nalantad na rekord, tukuyin ang sanhi at alamin ang buong lawak ng apektadong impormasyon. Walang iniulat sa pagdinig na kumpirmadong petsa kung kailan nagsimula ang pagkakalantad, bilang ng mga nakatanggap nito mula sa labas o pang-aabuso sa impormasyon pagkatapos makuha.

Itinakda ni Lee na isumite ang nakasulat na ulat bago matapos ang pagdinig ng parlamento. Dapat saklawin nito ang pagharang sa pag-access, unang pagkakatuklas sa problema, aktuwal na oras ng pagharang at mga pakikipag-ugnayan sa midya. Walang ibinigay ang mga ulat na petsa sa hinaharap kung kailan ilalathala ang kumpletong teknikal na imbestigasyon.

Dalawang magkahiwalay na pagsubok sa pananagutan ang pinagsasama ng kasong ito. Kailangan ng mga kumpidensiyal na rekord ng epektibong proteksiyon sa pag-access, samantalang dapat maipaliwanag ang batayan ng mga pasiyang magkait ng mga dokumento sa lehitimong pangangasiwa. Tinutugunan ng pagpigil sa iniulat na paraan ng pag-download ang agarang pinagmulan ng pagkakalantad, ngunit hindi nito itinatatag kung gaano na ito katagal umiiral ni nilulutas ang pagtatalo tungkol sa mga pasiya sa pagsisiwalat.

Mahahalagang Punto

• Sinabi ni Lee Sohee na nakakuha ang kanyang tanggapan ng 2,672 dokumento ng mga klinikal na pagsubok gamit ang ChatGPT, nang walang pag-login o password.
• Sa mga dokumento, 839 ang naglalaman ng kumpidensiyal na impormasyon ng kumpanya at 2,208 ang may mga numero ng cellphone ng kawani. Maaaring mag-overlap ang mga kategorya.
• Sinabi ng regulator na hinarangan nito ang pag-access nang maaga noong Oktubre 13, 2026, at iniimbestigahan ang sanhi at uri ng nalantad na impormasyon.
• Sinabi ni Lee na ipinaalam ng kanyang tanggapan ang usapin sa ahensiya noong Oktubre 11; sinabi naman ni Komisyoner Oh Yoo-kyung na nalaman ito noong Oktubre 12.
• May 96 na kaso sa sampung-taong talaan ng pagsisiwalat na binanggit sa pagdinig: pinanatiling kumpidensiyal ang 95 at inilabas ang isa sa kahilingan ng isang kumpanya.
• Hindi pa kumpirmado ang panahon ng pagkakalantad, bilang ng mga nakatanggap ng impormasyon mula sa labas at anumang maling paggamit nito. Hiniling ni Lee ang pagpreserba ng mga rekord at masusing pagsusuri sa pag-access.