В ИИ-агенте обнаружили уязвимость, позволявшую посторонним находить чужие переписки, в том числе с конфиденциальными данными. Исследователи нашли более 6800 ссылок, после чего Meta отключила функцию обмена чатами.
В ИИ-агенте обнаружили уязвимость, позволявшую посторонним находить чужие переписки, в том числе с конфиденциальными данными. Исследователи нашли более 6800 ссылок, после чего Meta отключила функцию обмена чатами.
Проблему обнаружили специалисты по кибербезопасности из Claroc. Muse позволял пользователям делиться переписками через специальные ссылки, однако их адреса содержали названия разговоров и попадали в общедоступные для поиска базы DNS-записей.
Благодаря этому ссылки можно было найти, даже если владелец переписки никому их не отправлял. «Если бы нас спросили заранее, мы бы предположили, что для сбора этих данных потребуются серьезные усилия. Но хватило одного запроса», — рассказали исследователи.
Специалисты изучили несколько сотен из 6800 найденных ссылок. Среди доступных материалов оказались конфиденциальные заметки кандидата перед собеседованием в ИИ-компании, внутренние финансовые отчеты, заявка на кредит, информация о банковской операции и календарь отпусков сотрудников с указанием их имен.
Claroc сообщила Meta о проблеме 8 октября. В ответ на запрос Ars Technica компания заявила, что приостановила функцию обмена переписками и рассматривает возможность изменения механизма создания ссылок. Проблема касалась только разговоров, которыми пользователи решили поделиться через ссылки, а не всех переписок с Muse.
Это не первый вопрос к безопасности Muse. В сентябре специалист по кибербезопасности Патрик Уордл обнаружил уязвимость, которая позволяла другому приложению на том же устройстве получить контроль над аккаунтом пользователя Muse. Meta тогда заявила, что для эксплуатации ошибки устройство уже должно быть скомпрометировано.
Релоцировались? Теперь вы можете комментировать без верификации аккаунта.