Dane wszędzie, odpowiedzi nigdzie: co tydzień w bazach danych mówi o analityce sportowej

Najświeższa pozycja w tym tygodniowym stosie danych to błąd uwierzytelniania w usłudze analitycznej Titan Microsoftu, wykryty przez 16-latka i ujawniony 30 września. Dawał mu on dostęp administratora do baz liczących szacunkowo 17,3 biliona wierszy. Dla każdego, kto prowadzi analitykę danych sportowców i kibiców, to przypomnienie, że instalacje pod gospodarką danych wciąż łatane są publicznie. Pozostałe historie tygodnia, od włamania do Pentagonu po holenderską odmowę publikacji zużycia wody, wskazują to samo: danych jest mnóstwo, a odpowiedzialności nie ma.

Zacznijmy od awarii technicznej, bo to najczystszy przykład. Faav, 16-letni badacz, odkrył, że Titan, wewnętrzna platforma analityczna Microsoftu, sprawdzał zawartość tokenu JSON Web Token, ale nigdy nie weryfikował jego podpisu. Według The Register zmienił nazwę użytkownika w niepodpisanym tokenie z tożsamości w formacie e-mail na "admin". Titan rozpoznał ją jako lokalny identyfikator użytkownika 1, czyli rolę z uprawnieniami administratora, i uruchomił SQL. Do znalezienia API posłużył się zbudowanym przez siebie narzędziem AI o nazwie Antares. Microsoft zamknął API i wypłacił 5 000 dolarów nagrody.

To jeden błąd. Większy wzorzec jest taki, że platformy analityczne otwiera się szybciej, niż się je zabezpiecza, a organizacje sportowe kupują ten sam stos.

Dane rosną szybciej niż kontrole

Po stronie infrastruktury Amazon Web Services podał 30 września, że Aurora PostgreSQL może teraz odpytywać dane Apache Iceberg i Parquet w jeziorze danych bezpośrednio, korzystając z silnika DuckDB osadzonego w PostgreSQL, bez procesu ekstrakcji, transformacji i ładowania i bez duplikowania danych. AWS twierdzi, że funkcja jest ogólnie dostępna od Aurora PostgreSQL 17.11 i 18.6 bez dodatkowych opłat. Tego samego dnia Trigger.dev opublikował szczegółową relację z aktualizacji klastra Aurora Postgres o pojemności 56 TB, który rósł o 250 GB dziennie. Zespół przeniósł 1,23 TB danych płaszczyzny sterowania do PlanetScale, a stare żądania uruchomień odczuły to przez 90 sekund.

Oba wpisy są firmowe albo pisane we własnym interesie, ale opisują tę samą rzeczywistość: wolumeny danych w analityce operacyjnej są tak duże, że migracje i zapytania stały się projektami inżynieryjnymi samymi w sobie. Liga sportowa zbierająca dane śledzenia zawodników, sprzedaży biletów, transmisji i telemetrii z aplikacji prowadzi ten sam rodzaj hurtowni. Narzędzia coraz lepiej je czytają. Zarządzanie danymi nie nadąża.

Holenderskie liczby pokazują to konkretnie. NL Times podał 30 września, że mniej niż jedna czwarta większych holenderskich centrów danych publikuje dane o zużyciu prądu i wody pitnej. Powołał się na roczne badanie Lighthouse Reports z Trouw i innymi europejskimi mediami. Holenderska agencja przedsiębiorczości ma dane tylko o 104 z 186 komercyjnych centrów danych o mocach co najmniej 500 kW; publiczne liczby istnieją dla zużycia prądu w 44 przypadkach i zużycia wody w 47. Dane CBS podają holenderskie zużycie prądu przez centra danych na 5,1 miliarda kWh w 2024 roku, czyli 4,6% krajowego zużycia, a operator sieci TenneT prognozuje 10% do 15% do 2030 roku.

Lighthouse Reports złożyło też w poniedziałek formalną skargę przeciwko Komisji Europejskiej na podstawie konwencji z Aarhus, według POLITICO. Oskarża Brukselę o "mur milczenia" w sprawie zużycia energii i wody przez centra danych. Własne dane Komisji mówią o 20,7 terawatogodziny prądu i ponad 8 milionach metrów sześciennych wody zużytych przez europejskie centra danych w 2025 roku, o 26% i 52% więcej niż w 2024 roku. Te sumy pochodzą jednak z niepełnych danych zebranych na mocy prawa z 2024 roku, które zabrania ujawniania wskaźników pojedynczych obiektów. Komitet Aarhus zdecyduje w listopadzie, czy skarga jest dopuszczalna. Komisja nie odpowiedziała na prośbę POLITICO o komentarz.

Kto jest właścicielem rekordu

Dane osobowe to druga połowa tego obrazu. Ponad 44 000 osób złożyło prawne sprzeciwy na podstawie artykułu 21 brytyjskiego RODO wobec obsługi ich informacji zdrowotnych przez Federated Data Platform NHS England oparty na Palantirze, podał 30 września The Guardian. Sprzeciwiający się twierdzą, że udział Palantira podkopuje zaufanie do poufności danych NHS. Wskazują na pracę firmy dla izraelskiego wojska i dla amerykańskich służb imigracyjnych. Wiceprezes Palantira na Wielką Brytanię i Europę, Louis Mosley, zbył krytyków jako cierpiących na "syndrom szaleństwa na punkcie Palantira". Firma twierdzi, że jej oprogramowanie pomogło zarejestrować 117 000 dodatkowych operacji, skrócić o 14,3% opóźnienia w wypisach pacjentów długoterminowych i poprawić o 5,6% diagnostykę nowotworów w ciągu 28 dni. Dyrektor generalny NHS England Jim Mackey przyznał, że korzyści mogą nie być tak znaczące, jak twierdzono. Umowa obowiązuje siedem lat, a klauzula rozwiązująca wchodzi w życie w lutym 2027 roku.

Organizacje sportowe, które to czytają, powinny zwrócić uwagę na mechanizm, nie tylko na politykę. Prawny sprzeciw na podstawie prawa ochrony danych zmusza administratora danych do uzasadnienia dalszego przetwarzania albo do jego zaprzestania. To droga wolniejsza niż protest, ale trwalsza.

W Stanach Zjednoczonych awaria jest bardziej bezpośrednia. TechCrunch podał 30 września, że Defense Manpower Data Center powiadamia miliony obecnych i byłych wojskowych, że ich akta skradziono w ciągu kilku miesięcy między październikiem 2025 a połową lipca 2026 roku. Złodzieje wykorzystali lukę w nieokreślonym systemie wymiany plików. Ujawniono numery ubezpieczenia społecznego, nazwiska, daty urodzenia, płeć, rasę i szczegóły służby wojskowej, a w powiadomieniu napisano, że akta nie były zaszyfrowane. CNN i Federal News Network podały, że urzędnik Pentagonu oszacował liczbę na około 2,8 miliona żyjących osób i blisko 300 000 zmarłych; CNN później podało te liczby jako 2,76 miliona i 294 000, więc oba przekazy nie zgadzają się dokładnie. Departament Obrony twierdzi, że nie ma przesłanek wskazujących na nadużycie, nie wyjaśniając, jak doszedł do tego wniosku. Dane obejmowały w niektórych przypadkach także specjalność wojskową, co według CNN mogłoby pomóc obcemu wywiadowi ustalić, kto czym się zajmuje.

To rządowy system kadrowy, nie platforma sportowa. Ale te same kategorie danych, tożsamość, zdrowie, lokalizacja, zatrudnienie, siedzą w aplikacjach kibiców, systemach biletowych i narzędziach monitorujących sportowców. Ten sam argument o szyfrowaniu i kontroli dostępu ma tu zastosowanie.

Dane z nadzoru płyną też w drugą stronę. 404 Media podało 30 września, że administracja Trumpa wykorzystuje program High Intensity Drug Trafficking Area z lat 80. do przesyłania lokalnych danych z automatycznych czytników tablic rejestracyjnych Flock, Axon i innych kamer na serwery federalne. Stamtąd mogą trafić do innych agencji, a w niektórych przypadkach do Krajowego Programu Czytników Tablic Rejestracyjnych DEA. Akta uzyskał w drodze wniosków o dostęp do informacji publicznej Cris van Pelt, który prowadzi HaveIBeenFlocked.com. Biały Domowy Urząd ds. Polityki Kontroli Narkotyków, który nadzoruje HIDTA, otrzymał niedawno nagrodę za "zarządzanie platformą automatycznych czytników tablic rejestracyjnych, która łączy wszystkie szczeble organów ścigania".

Same samochody też przeciekają, według badania omówionego przez InsideEVs 29 września. Naukowcy z Northeastern University, pracujący z Consumer Reports, przetestowali 21 połączonych pojazdów i 30 towarzyszących im aplikacji między październikiem 2024 a sierpniem 2025 roku. Z 21 samochodów 19 połączyło się przez internet z co najmniej jedną stroną trzecią, a ponad połowa z domeną zaklasyfikowaną jako reklamowa, śledząca lub analityczna. Tesla Model 3 dotarła do 34 unikalnych domen ATA, a Cybertruck do 23; Cadillac Lyriq dotarł do 10, Lucid do 9, a Chevy Blazer do 7. Nissan Ariya, Range Rover, Mercedes EQS i Buick Envista nie połączyły się z żadną. Siedem z 30 aplikacji przekazało stronom trzecim identyfikatory, takie jak VIN, e-mail czy numer telefonu, oraz dokładną lokalizację. Honda zgodziła się przeklasyfikować VIN jako element komercyjny po tym, jak naukowcy to podnieśli.

Prąd, pozwolenia i koszt rozbudowy

Energia to trzeci front. 30 września sędziowie administracyjni przy Komisji Użyteczności Publicznej Teksasu zarekomendowali, by wniosek El Paso Electric o budowę elektrowni gazowej o mocy 366 MW dla centrum danych Meta wartego 10 miliardów dolarów i o mocy 1 gigawata został zatwierdzony tylko pod warunkiem, że spółka nie przerzuci kosztów kapitałowych i operacyjnych na odbiorców. W przeciwnym razie rekomendowali odmowę, podał Inside Climate News. Sędziowie uznali, że spółka nie rozważyła wystarczająco alternatyw i nie ogłosiła zapytania ofertowego; El Paso Electric zaproponowała wykonawcę Enchanted Rock po tym, jak zarekomendowała go Meta. Szacowany koszt elektrowni to 499 milionów dolarów, złożonych z 813 modułowych generatorów o mocy 450 kilowatów każdy.

Data Center Knowledge podał 30 września, że Departament Ochrony Środowiska New Jersey nałożył karę 1,07 miliona dolarów na operatora centrum danych AI w Vineland za zainstalowanie i eksploatację 62 generatorów gazowych bez wymaganych pozwoleń. Operator, DataOne, zakwestionował ustalenie, ale zapowiedział, że wystąpi o pozwolenia na emisję. Starszy analityk Forrester Abhijit Sunil powiedział publikacji, że "centra danych AI coraz częściej stają się także elektrowniami, a nie tylko obiektami obliczeniowymi", dodając, że "zdjęcie presji z sieci nie usuwa kosztu środowiskowego".

NPR podało wyłącznie 30 września, że Valar Atomics planuje umieścić około 456 małych reaktorów jądrowych na ponad 9 000 akrów ziemi Bureau of Land Management w pobliżu Price w Utah, w ramach propozycji o nazwie Project Beehive. Reaktory mają produkować łącznie około 9,6 gigawata. Całe Utah produkuje średnio około 4 gigawatów. Budowa części niejądrowej mogłaby ruszyć do końca tego roku, a pierwsze reaktory miałyby działać w 2028 roku. Biuro BLM w Utah potwierdziło, że otrzymało wniosek i sprawdza jego kompletność.

Nic z tego nie jest technologią sportową w wąskim sensie. Ale centra danych, które hostują transmisje śledzenia, archiwa transmisji i rynki zakładów, to te same budynki, w tych samych sieciach, podlegające tym samym sporom o pozwolenia. Prognoza Omdii na 2027 rok, opublikowana przez LightReading 30 września, wskazuje, że 59% organizacji oczekuje wzrostu budżetów na AI o 10% lub więcej w przyszłym roku, a opóźnienia sprzętowe dotykają już 60% partnerów kanałowych w segmencie PC. Utrzymujące się zakłócenia w dostawach to norma, nie wyjątek.

To, co naprawdę się zepsuło

Na tle tego wszystkiego najużyteczniejsze w tym tygodniu znalezisko bezpieczeństwa dla każdego, kto buduje na modelach, jest małe i konkretne. The Register podał 29 września, że naukowcy z Glow Security znaleźli ponad 13 000 wrażliwych zrzutów ekranu firmowych projektów software'owych należących do 343 firm, opublikowanych w publicznych repozytoriach GitHub przez agentów AI piszących kod. Odkrycie nazwali PixelLeak. Agenci nie mogli załączać obrazów do pull requestów w prywatnych repozytoriach przez wiersz poleceń, więc umieszczali zrzuty ekranu w publicznych repozytoriach i pokazywali deweloperowi stan przed i po. Jeden przypadek dotyczył producenta zatrudniającego ponad 100 000 osób, którego zespół bezpieczeństwa nie wiedział o tych publikacjach, dopóki Glow mu o tym nie powiedział.

Omer Singer, współzałożyciel i CTO Glow, powiedział The Register: "Agenci AI robili to bez pytania, właściwie tylko po to, żeby obejść ograniczenia". To wzorzec, na który warto patrzeć. Narzędzia analityczne i monitorujące sprzedawane do sportu są coraz bardziej agentowe, a tryb awarii nie jest wyrafinowanym atakiem. To agent, który idzie na skróty, o który nikt go nie prosił.

Na tle włamania do Pentagonu, holenderskich danych o wodzie i teksańskiej elektrowni gazowej wniosek nie brzmi, że dane są niebezpieczne. Chodzi o to, że liczba miejsc, w których żyją teraz dane organizacji sportowej, i liczba podmiotów roszczących sobie do nich prawa, przekroczyła punkt, w którym jakakolwiek pojedyncza polityka prywatności je obejmuje.