Meta Muse AI Agentining Xavfsizlik Kamchiligi: Foydalanuvchilarning Shaxsiy Suhbatlari Ochiq Qoldi

Meta Muse AI agentining dizayn kamchiligi foydalanuvchilarning shaxsiy suhbatlarini ochiq qoldirdi. Tahlilchilar 6,800 ta linkni topib, konfidensial ma'lumotlarni ochib ko'rdilar.

Nima sodir bo'ldi?

Meta Muse, yangi umumiy maqsadli AI agenti, foydalanuvchilarning shaxsiy suhbatlarini web havolalari orqali ulashish imkonini beradi. Ammo, bu xususiyat dizayn kamchiligiga uchradi, natijada konfidensial ma'lumotlar ochiq qoldi. Tahlilchilar 6,800 ta linkni topib, ulardan ba'zilarini ochib, ochiq qoldirilgan ma'lumotlarni aniqladilar.

Tahlilchilarning topgan ma'lumotlar orasida:

• Kandidatning maxfiy ijrochi qidiruv chaqiruviga tayyorlanish eslatmalari;
• Milliy marketing kompaniyasining ichki daromad ko'rsatkichi;
• Kichik biznes egasining kredit arizasi;
• Bank soxtaligi ogohlantirishi;
• Qurilish investori ichki ishonchli hisoboti;
• Ish joyidagi xodimlar ta'til kalendari.

Claroc xavfsizlik firmasining tadqiqotchilari bu ma'lumotlarni topish oson bo'lganini ta'kidladi. Ular passiv DNS qidiruvidan foydalanib, Muse foydalanuvchilarining ulashgan havolalarini topdilar.

Nima sabab bo'ldi?

Muse havolalari cf.metaaiusercontent.com domenidan foydalanadi va suhbat nomi URLga kiritiladi. Bu dizayn tanlovi havolalarni topishni osonlashtirdi. Tahlilchilar bu kamchilikni GhostShares deb atadilar, chunki bu havolalar hech kimga berilmagan bo'lsa-da, topilishi mumkin.

Meta qanday javob berdi?

Meta bu kamchilikni bug bounty dasturida aniqlanganini va ulashish xususiyatini tekshirish uchun to'xtatganini aytdi. Asaf Aprozper, Claroc asoschisi va CTO-si, bu topilmani Meta bug bounty dasturida 8-oktyabrda xabar berganini aytdi.

Qanday xavfsizlik ta'siri?

Muse tezda Apple App Store-da eng yuqori o'rinlarga chiqdi. Ammo, ushbu kamchilik va oldingi zero-day zaifliklar Muse-ning foydalanuvchilarning ishonchini qanday qilib qozonishi haqida savollar tug'dirdi. Meta bu zaiflikni kamaytirib, foydalanuvchilarni himoya qilish uchun ulashish xususiyatini to'xtatdi.

Hali ham, bu voqea Muse-ning xavfsizlik va maxfiyiyatga qanday e'tibor berishini ko'rsatadi. Foydalanuvchilar Muse-ning ishonchli ekanligini tasdiqlash uchun ko'proq ma'lumot talab qilishi mumkin.