Як посилання Meta Muse розкрили приватні чати

Muse, новий ШІ-агент Meta, має проблему з приватністю в несподіваному місці — у посиланнях для поширення. Дослідники з компанії Claroc змогли знайти тисячі розмов, якими користувачі ділилися з конкретними людьми, повідомляє Ars Technica. Після запитання від Ars Meta призупинила функцію поширення. Пояснюємо, як так вийшло і що це означає для вас.

Що знайшли дослідники

За словами Claroc, вона зібрала близько 6800 посилань Muse і відкрила кілька сотень, навіть не входячи в акаунт. Серед них, як ідеться у звіті дослідників і в Ars:

• нотатки до конфіденційної співбесіди з хедхантером провідної ШІ-лабораторії з ім'ям контактної особи та часом зустрічі;
• внутрішній огляд виручки компанії, підготовлений для CEO;
• заявка малого бізнесу на кредит із сумою;
• список справ зі сповіщенням банку про шахрайство, частиною номера рахунку й даними транзакції;
• річний графік відпусток працівників однієї компанії.

«Знадобився один запит», — написали дослідники.

Як приватне посилання стало знаходитися пошуком

Більшість сервісів створюють для поширення довгу випадкову адресу, яку неможливо вгадати. Muse робила так само, але з нюансом. Кожне посилання мало власний субдомен на cf.metaaiusercontent.com, і цей субдомен починався з назви розмови. Спрощено це виглядає як loan-application-draft-a4c9e2.cf.metaaiusercontent.com.

Тут вступає в гру пасивний DNS. Коли хтось відкриває сайт, пристрій просить DNS-сервер перетворити назву на IP-адресу. Комерційні сервіси пасивного DNS непомітно записують такі запити на резолверах по всьому світу й зберігають історію з пошуком. Сама сторінка лишається закритою, а от її ім'я хоста — ні. Тож щойно отримувач відкривав посилання Muse, увесь субдомен — з назвою та випадковим рядком — міг потрапити до цих баз. Пошук за metaaiusercontent.com видає перелік поширених чатів із цілком читабельними назвами.

Якби назва стояла в шляху (після першої /), DNS її б ніколи не побачив. Claroc називає такі сторінки GhostShares — вони відкриваються людям, яким посилання ніхто не надсилав.

Що каже Meta

Meta відповіла Ars, що користувачі можуть ділитися матеріалами Muse через посилання і що компанія «призупинила цю функцію на час перевірки звіту та розглядає зміни в тому, як ці посилання можна виявити». Технічний директор Claroc Асаф Апрозпер каже, що повідомив про проблему через програму bug bounty Meta 8 жовтня, але відповіді не отримав. Ars також нагадує, що через три тижні після запуску дослідник безпеки macOS Патрік Вордл знайшов у Muse окрему вразливість, яка дозволяла захопити акаунт.

Що робити вам

• Вважайте публічною будь-яку сторінку «для всіх, у кого є посилання». Це стосується всіх ШІ-асистентів, а не лише Muse.
• Не вписуйте особисті чи робочі секрети в чати, якими плануєте ділитися. Краще скопіюйте потрібне в документ, який контролюєте самі.
• Давайте робочим чатам нейтральні назви. У цьому випадку витоком стала саме назва.

Muse створена, щоб діяти від вашого імені в ваших акаунтах. Чому це турбує банки, ми розповідали в матеріалі про те, як банки й Amazon блокують ШІ-агентів. Нещодавній злам OpenCode з витоком API-ключів — той самий урок для розробників. А якщо хочете тримати ШІ на власному залізі, прочитайте наш гід із вибору ноутбука для локального ШІ.