Ο Muse, ο νέος πράκτορας τεχνητής νοημοσύνης γενικής χρήσης της Meta, βρέθηκε στο επίκεντρο κριτικής καθώς αποκαλύφθηκε ότι η λειτουργία κοινής χρήσης συνδέσμων εξέθετε ευαίσθητες πληροφορίες χρηστών. Σε απάντηση των ευρημάτων, η Meta ανακοίνωσε την αναστολή της λειτουργίας ενώ επανεξετάζει τον σχεδιασμό της.

Η Αποκάλυψη των «GhostShares»

Ερευνητές της εταιρείας ασφαλείας Claroc ανακάλυψαν ότι ο τρόπος με τον οποίο ο Muse δημιουργούσε συνδέσμους (URLs) για την κοινή χρήση συνομιλιών καθιστούσε τις σελίδες αυτές εύκολα εντοπίσιμες από τρίτους. Χρησιμοποιώντας παθητική αναζήτηση DNS, οι ερευνητές κατάφεραν να εντοπίσουν 6.800 συνδέσμους που είχαν δημιουργηθεί από χρήστες.

Μετά την εξέταση μερικών εκατοντάδων εξ αυτών, βρέθηκαν πληροφορίες που προφανώς δεν προορίζονταν για δημόσια θέαση, όπως:

  • Σημειώσεις υποψηφίου για εμπιστευτική συνέντευξη σε κορυφαίο εργαστήριο AI.
  • Εσωτερική αναφορά εσόδων εθνικής εταιρείας μάρκετινγκ.
  • Αίτηση δανείου μικρής επιχείρησης με το αιτούμενο ποσό.
  • Λίστα εργασιών που περιλάμβανε ειδοποίηση τραπεζικής απάτης και μερικό αριθμό λογαριασμού.
  • Ημερολόγιο αδειών προσωπικού με ονόματα δεκάδων υπαλλήλων.

Το Τεχνικό Σφάλμα

Το πρόβλημα εντοπίζεται στην απόφαση της Meta να συμπεριλάβει τον τίτλο της συνομιλίας στο υποτομέα (subdomain) του URL αντί για τη διαδρομή (path). Για παράδειγμα, ένας σύνδεσμος είχε τη μορφή loan-application-draft-a4c9e2.cf.metaaiusercontent.com. Αυτή η δομή επιτρέπει σε συστήματα παρακολούθησης DNS να καταγράφουν και να αρχειοθετούν τους συνδέσμους σε αναζητήσιμες βάσεις δεδομένων μόλις κάποιος κάνει κλικ σε αυτούς.

«Αν μας ρωτούσατε εκ των προτέρων, θα υποθέταμε ότι η συλλογή αυτών των στοιχείων θα απαιτούσε πραγματική προσπάθεια», έγραψαν οι ερευνητές. «Χρειάστηκε μόνο ένα ερώτημα».

Αντιδράσεις και Προηγούμενα Ζητήματα

Παρά το γεγονός ότι ο Mark Zuckerberg παρουσίασε τον Muse ως ένα εργαλείο «χτισμένο από την αρχή για την προστασία της ιδιωτικής ζωής», αυτό είναι το δεύτερο σημαντικό κενό ασφαλείας που εντοπίζεται. Πριν από τρεις εβδομάδες, ο ειδικός ασφαλείας Patrick Wardle ανακάλυψε μια ευπάθεια zero-day που επέτρεπε σε άλλες εφαρμογές να αποκτήσουν πλήρη έλεγχο του λογαριασμού Muse ενός χρήστη.

Η Meta δήλωσε ότι ανέστειλε τη λειτουργία κοινής χρήσης ενώ εξετάζει αλλαγές στον τρόπο με τον οποίο οι σύνδεσμοι αυτοί γίνονται ανακαλύψιμοι, σημειώνοντας ότι το πρόγραμμα bug bounty της εταιρείας παραμένει ανοιχτό για τέτοιες αναφορές.