Meta מקפיאה את שיתוף הצ'אטים ב-Muse לאחר שנמצאו שיחות AI נגישות לציבור

Meta מקפיאה את שיתוף הקישורים של Muse

Meta הקפיאה תכונה בעוזר ה-AI Muse שמאפשרת למשתמשים לשתף שיחות דרך קישורים באינטרנט, אחרי שחוקרי אבטחה גילו שכתובות ה-URL של השיתוף היו נגישות לציבור ברשת. Muse הוא סוכן AI כללי של Meta שהושק בחודש שעבר, בספטמבר. הממצא, שדווח לראשונה על ידי Ars Technica, נובע מדוח שפורסם השבוע על ידי חברת האבטחה Claroc.

“לאנשים יש אפשרות לשתף פריטים מסוימים ב-Muse, מה שיוצר עמוד שניתן לגשת אליו על ידי מי שיש לו את הקישור,” אמרה דוברת Muse, Tracy Clayton, בהצהרה בדואר אלקטרוני ל-The Verge. “עם זאת, הקפאנו את הפונקציונליות הזו בזמן שאנחנו בוחנים את הדוח הזה ושוקלים שינויים באופן שבו ניתן לגלות את הקישורים האלה.”

Claroc מסרה כי לאחר השינוי של Meta לא הצליחה יותר לפתוח מדגם של קישורים שאליהם נכנסה קודם לכן.

אלפי קישורים נמצאו ברשומות DNS ציבוריות

לפי Claroc, חוקרים איתרו יותר מ-6,800 קישורי שיתוף של Muse על ידי חיפוש ברשומות DNS ציבוריות, המשמשות כמדריך לתעבורת האינטרנט. החברה אמרה שהיא הצליחה לצפות במאות שיחות Muse באמצעות השיטה הזו.

Claroc הסבירה שהאופן שבו Meta תכננה את הקישורים הפך אותם לקלים למציאה. כתובת האינטרנט של כל שיתוף בנויה מכותרת השיתוף, צירוף קצר המתאר את השיחה, ואז מזהה אקראי. שם המארח חשף לעתים קרובות מה היה בעמוד לפני שנפתח, ומכיוון שהקישור נושא את אותה כותרת ואת אותו מזהה, אפשר להשתמש בשם מארח שהתקבל מ-DNS כדי לבנות מחדש את הקישור המלא.

שיחות רגישות נחשפו

בין השיחות שאליהן נגשה Claroc היו סקירת הכנסות של חברת שיווק, בקשת הלוואה של בעל עסק קטן, התראת הונאה בנקאית עם פרטי חשבון חלקיים, לוח שנה שנתי לצוות של מקום עבודה, הערות לשיחה של מועמד למשרה עם מעבדת AI ומסמכים פנימיים נוספים של החברה.

מנכ״ל Meta, מארק צוקרברג, אמר בחודש שעבר כי Muse “נבנה מהיסוד לפרטיות ולאבטחה”. המקרה הזה אינו הפעם הראשונה שתכונת שיתוף AI הפכה שיחות לציבוריות יותר מהכוונה. שיחות ששותפו דרך ChatGPT של OpenAI, Claude של Anthropic ו-Grok של xAI הגיעו גם אל Google Search.

מקורות: The Verge · Ars Technica · Engadget