Apple 指前員工離職後仍可下載機密檔案 停帳戶點解仲未夠
案件仲未裁決，但離職權限管理幾個常見盲點已經好清楚
Apple 指控講咗咩
Apple 嘅訴狀話，前高級系統電氣工程師 Chang Liu 喺 2026 年 1 月轉投 OpenAI 後，涉嫌冇交還一部已認證過嘅公司手提電腦，亦冇回覆 Apple 安排 exit interview 同收機嘅聯絡。Apple 指控佢到 2 月 9 日發現一個公司當時未知道嘅認證 bug，可以連入 cloud-based network storage；Apple 指控佢之後幾個星期下載咗數十份機密檔案，內容涉及未發布硬件、工程簡報、技術規格同項目資料。呢啲全部係 Apple 喺訴訟入面嘅單方面指控，法院仲未裁決。
Apple 又話 server log 顯示另有少數 user 受同一 bug 影響，但係冇跡象顯示佢哋曾存取或取走機密資料；Apple 發現事件後修補咗 bug，亦終止咗 Liu 嘅存取權。TechCrunch 問 Apple 原有 credentials 幾時停用、bug 點運作，Apple 冇再回應。而家冇資料交代成因、影響範圍或者重現方法，亦唔可以由「rare」兩個字推斷係邊類漏洞。
圖片：OpenAI
停用帳戶，只關到第一道門
好多公司收到離職通知，停咗 Active Directory 或 SSO account 就當收工。實際環境有 IdP、SaaS、VPN 同 cloud storage 幾層，每層都可能留住 session 或 token。Microsoft Entra 官方文件提醒，browser app 自己發嘅 session token 由 app 管，中央身份服務停咗 user，現有 session 仍可能捱到過期先斷。所以 offboarding 要逐個 app 清 session、refresh token 同登入憑證，淨係 reset password 冇法包辦晒。
公司電腦同裝置身份要一齊收
公司電腦未交還，風險唔止係少咗件資產。部機可能仲有本機資料、device certificate、VPN token 或 SSH key，亦可能仍以受信任 endpoint 身份連線。NIST SP 800-171 Rev. 3嘅離職控制要求同時停系統權限、撤銷 authenticator 同 credential，兼收回公司設備、badge 同硬件 token。離職生效嗰刻，IT 要停用受管裝置、撤銷裝置憑證，按政策 remote lock 或清走公司資料；部機冇按時交返，就要即刻升級處理。
異常下載要即時有 alert
Apple 話今次靠內部調查同 server log 發現問題。CISA 嘅 insider-threat 指引建議標記大批下載、檔案傳送同其他資料外流跡象。公司可以喺離職通知前後，留意下載量突然升高、非慣常時段存取、舊裝置再碰敏感 repository，同已停用 account 嘅登入嘗試；相關 user ID、device ID、session ID 同 file-access log 都要保留。Alert 仲要睇檔案敏感度，一份核心設計文件已經值得即時跟進，唔應只等到幾十份檔案一齊走。
Apple 同 OpenAI 嘅 AI 硬件競爭升溫
兩間公司喺 2024 年先宣布喺 Apple 平台接入 ChatGPT，包 Siri 同 Writing Tools；到 2025 年，OpenAI 公布 io 團隊正式合併，Jony Ive 同 LoveFrom 負責 OpenAI 嘅設計同創意工作。io 共同創辦人包括前 Apple 高層 Tang Tan，佢亦係今次訴訟對象。Apple 呢次申索集中喺未發布硬件、製造方法同供應鏈資料，反映雙方喺 AI 裝置入口嘅商業利益開始重疊。呢段係競爭脈絡，唔代表法院已確認 OpenAI 用過 Apple 資料。
AP 報道引述 OpenAI 回應，話公司冇興趣取得其他公司嘅商業秘密，當時仍喺度審閱訴狀。官司下一步要睇 OpenAI 點樣正式答辯，同埋證據開示程序會唔會揭示啲檔案實際有冇俾人用過；法院仲未審過呢啲核心指控。公司 IT 而家可以做嘅就清楚得多：HR 通知、停帳戶、收機、撤裝置憑證、清 cloud session 同追異常下載，要綁住同一個離職時間點，每一項都有負責人同完成紀錄。
參考來源
- TechCrunch — Apple says former employee exploited ‘rare’ bug to download confidential files after leaving for OpenAI — original report
- Apple v. Liu 等人訴狀（PDF） — 核對 Apple 嘅單方面指控、Liu 離職後存取時間線同 server log 說法
- AP：Apple 起訴 OpenAI 涉嫌取走商業秘密 — 核對 OpenAI 回應，同案件仍未裁決嘅背景
- NIST SP 800-171 Rev. 3 — 離職時停權、撤銷 authenticator 同收回設備嘅官方基準
- Microsoft Entra：撤銷用戶存取權 — 解釋停用中央帳戶後，app session 同 token 點解未必即時失效
- CISA Insider Threat Mitigation Guide — 支援監察大批下載、檔案傳送同其他資料外流跡象嘅建議
- OpenAI 同 Apple 宣布合作 — 核對 2024 年 ChatGPT 接入 Apple 平台嘅合作背景
- OpenAI：A letter from Sam & Jony — 核對 io 團隊合併、Jony Ive 同 Tang Tan 參與硬件工作嘅官方資料
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
