O agente de inteligência artificial Muse, desenvolvido pela Meta, expôs aproximadamente sete mil conversas na internet por causa de uma vulnerabilidade no seu recurso de compartilhamento. A falha de segurança foi identificada pela empresa de cibersegurança Claroc e comunicada à Meta, que subsequentemente suspendeu a ferramenta.
Embora as URLs fossem projetadas para exibir apenas trechos de conversas e arquivos, a fragilidade de segurança permitia o acesso a conteúdos abrangentes, desde o tópico inicial do bate-papo até páginas completas contendo informações potencialmente confidenciais.
O incidente foi reportado pelo portal Ars Technica, que solicitou uma declaração oficial. Em resposta, a Meta mencionou que a descoberta se enquadra em seu Programa de Recompensa por Bugs e que tais ocorrências são cruciais para o aprimoramento do produto. A companhia de Mark Zuckerberg confirmou ter interrompido o recurso enquanto implementa os devidos ajustes.
O compartilhamento de documentos é uma prática comum no ambiente digital, seja para calendários, textos em plataformas como Google Docs ou apresentações no PowerPoint. Serviços como o Google Drive geralmente oferecem múltiplas camadas de proteção, incluindo autenticação por login e senha.
Diferentemente desses serviços, o Meta Muse compartilhava conversas e arquivos dessa forma, publicando a interação como uma página aberta acessível a qualquer pessoa que possuísse o link. Adicionalmente, essas páginas podiam ser localizadas através de um título simples relacionado ao tema da conversa, visto que as URLs eram disponibilizadas no domínio público cf.metaaiusercontent.com.
Entre os dados vazados estavam documentos sensíveis, como contratos contendo nomes e valores, além de planilhas e calendários internos de empresas reais. De acordo com a Claroc, a análise de apenas algumas centenas desses quase sete mil links já era suficiente para demonstrar a magnitude do problema.
É relevante notar que a Meta havia lançado o Muse enfatizando a privacidade como um princípio fundamental, utilizando máquinas virtuais exclusivas para cada usuário, o que visava impedir que a própria empresa tivesse acesso às interações.
O alerta foi enviado à Meta em 8 de outubro. A equipe da Claroc relatou ter revisado o material novamente no dia 18, momento em que ainda foi possível localizar novas URLs de conversas com o Muse. Além do levantamento, a Claroc também propôs diversas medidas de segurança.
A Meta só confirmou a pausa nos novos compartilhamentos nesta terça-feira (20/10), após questionamento do portal Ars Technica, o que significa que a funcionalidade permaneceu ativa por pelo menos 12 dias. Atualmente, o Meta Muse está disponível somente nos Estados Unidos e no Canadá, sem previsão de lançamento em outros mercados, como o Brasil.