Как ссылки Meta Muse раскрыли приватные чаты

Muse, новый ИИ-агент Meta, столкнулся с проблемой приватности в неожиданном месте — в ссылках для обмена. Исследователи из компании Claroc смогли найти тысячи разговоров, которыми пользователи делились с конкретными людьми, сообщает Ars Technica. После вопроса от Ars Meta приостановила функцию обмена. Объясняем, как так вышло и что это значит для вас.

Что нашли исследователи

По словам Claroc, она собрала около 6800 ссылок Muse и открыла несколько сотен, даже не входя в аккаунт. Среди них, как сказано в отчёте исследователей и у Ars:

• заметки к конфиденциальному звонку с хедхантером ведущей ИИ-лаборатории с именем контакта и временем встречи;
• внутренний обзор выручки компании, подготовленный для CEO;
• заявка малого бизнеса на кредит с суммой;
• список дел с уведомлением банка о мошенничестве, частью номера счёта и данными транзакции;
• годовой график отпусков сотрудников одной компании.

«Понадобился один запрос», — написали исследователи.

Как приватная ссылка стала находиться поиском

Большинство сервисов создают для обмена длинный случайный адрес, который невозможно угадать. Muse делала так же, но с нюансом. Каждая ссылка имела собственный поддомен на cf.metaaiusercontent.com, и этот поддомен начинался с названия разговора. Упрощённо это выглядит как loan-application-draft-a4c9e2.cf.metaaiusercontent.com.

Здесь в игру вступает пассивный DNS. Когда кто-то открывает сайт, устройство просит DNS-сервер превратить имя в IP-адрес. Коммерческие сервисы пассивного DNS незаметно записывают такие запросы на резолверах по всему миру и хранят историю с поиском. Сама страница остаётся закрытой, а вот её имя хоста — нет. Так что, как только получатель открывал ссылку Muse, весь поддомен — с названием и случайной строкой — мог попасть в эти базы. Поиск по metaaiusercontent.com выдаёт список расшаренных чатов с вполне читаемыми названиями.

Если бы название стояло в пути (после первого /), DNS его бы никогда не увидел. Claroc называет такие страницы GhostShares — они открываются людям, которым ссылку никто не присылал.

Что говорит Meta

Meta ответила Ars, что пользователи могут делиться материалами Muse по ссылке и что компания «приостановила эту функцию на время проверки отчёта и рассматривает изменения в том, как эти ссылки можно обнаружить». Технический директор Claroc Асаф Апрозпер говорит, что сообщил о проблеме через программу bug bounty Meta 8 октября, но ответа не получил. Ars также напоминает, что через три недели после запуска исследователь безопасности macOS Патрик Уордл нашёл в Muse отдельную уязвимость, позволявшую захватить аккаунт.

Что делать вам

• Считайте публичной любую страницу «для всех, у кого есть ссылка». Это касается всех ИИ-ассистентов, а не только Muse.
• Не пишите личные и рабочие секреты в чатах, которыми собираетесь делиться. Лучше скопируйте нужное в документ, который контролируете сами.
• Давайте рабочим чатам нейтральные названия. В этом случае утечкой стало именно название.

Muse создана, чтобы действовать от вашего имени в ваших аккаунтах. Почему это беспокоит банки, мы рассказывали в материале о том, как банки и Amazon блокируют ИИ-агентов. Недавний взлом OpenCode с утечкой API-ключей — тот же урок для разработчиков. А если хотите держать ИИ на своём железе, прочитайте наш гайд по выбору ноутбука для локального ИИ.