Компанія Meta зупинила функцію платформи штучного інтелекту Muse, яка дозволяла користувачам ділитися своїми розмовами за допомогою вебпосилань. Це сталося після того, як фахівці з безпеки з компанії Claroc виявили понад 6800 таких лінків у відкритому доступі, про що першими повідомили журналісти Ars Technica.
Як з’ясували дослідники, проблема крилася в особливостях побудови адрес. Замість того, щоб ховати назву розмови всередині шляху URL, розробники додали її безпосередньо до піддомену разом із випадковим ідентифікатором. Через такий дизайн системи моніторингу та загальнодоступні DNS-реєстри автоматично фіксували адреси щоразу, коли хтось переходяв за посиланням, роблячи їх доступними для пошуку.
Використовуючи лише один пошуковий запит через пасивні DNS-сервіси, фахівці змогли переглянути сотні чужих діалогів. Серед розкритих даних опинилися фінансові звіти маркетингових компаній, заявки на кредити для малого бізнесу, річні графіки відпусток працівників, а також нотатки з підготовки до конфіденційних співбесід в AI-лабораторіях.
Представниця Muse Трейсі Клейтон зазначила у коментарі для The Verge, що користувачі справді мають можливість створювати публічні сторінки для обміну артефактами. Проте на час перевірки звіту дослідників та обговорення можливих змін у генерації посилань цю функціональність тимчасово деактивували.
Співзасновник Claroc Асаф Апрозпер повідомив, що намагався попередити компанію про вразливість через програму виявлення помилок ще 8 жовтня, проте відповіді не отримав. Це вже не перші проблеми з безпекою нового асистента: раніше експерти знаходили вразливість нульового дня, яка дозволяла іншим додаткам отримувати контроль над обліковими записами користувачів у Muse.
Наразі функція поширення залишається заблокованою, що захищає користувачів від подібних витоків. Представники Meta продовжують вивчати ситуацію задля покращення захисту персональних даних у своєму новому продукті.
Джерела: theverge.com, arstechnica.com
