Агент искусственного интеллекта Muse от Meta раскрыл около семи тысяч разговоров в интернете из-за уязвимости в его функции обмена. Уязвимость была обнаружена компанией по кибербезопасности Claroc и сообщена Meta, которая впоследствии приостановила работу инструмента.
Хотя URL-адреса были предназначены для отображения только фрагментов разговоров и файлов, слабость безопасности позволяла доступ к полному контенту, от начальной темы чата до целых страниц, содержащих потенциально конфиденциальную информацию.
Об инциденте сообщил портал Ars Technica, который запросил официальное заявление. В ответ Meta упомянула, что это открытие подпадает под действие ее Программы вознаграждения за ошибки, и такие случаи имеют решающее значение для улучшения продукта. Компания Марка Цукерберга подтвердила, что приостановила работу функции, пока внедряются соответствующие исправления.
Обмен документами является распространенной практикой в цифровой среде, будь то календари, тексты на таких платформах, как Google Docs, или презентации в PowerPoint. Такие сервисы, как Google Drive, обычно предлагают несколько уровней защиты, включая аутентификацию по логину и паролю.
В отличие от этих сервисов, Meta Muse делился разговорами и файлами таким образом, публикуя взаимодействие как открытую страницу, доступную любому, у кого была ссылка. Кроме того, эти страницы можно было найти по простому заголовку, связанному с темой разговора, поскольку URL-адреса размещались в общедоступном домене cf.metaaiusercontent.com.
Среди утечек данных оказались конфиденциальные документы, такие как контракты с именами и суммами, а также внутренние таблицы и календари реальных компаний. По данным Claroc, анализ всего нескольких сотен из почти семи тысяч таких ссылок был достаточен, чтобы продемонстрировать масштаб проблемы.
Стоит отметить, что Meta запускала Muse, подчеркивая конфиденциальность как основополагающий принцип, используя выделенные виртуальные машины для каждого пользователя, что должно было предотвратить доступ самой компании к взаимодействиям.
Оповещение было отправлено в Meta 8 октября. Команда Claroc сообщила, что повторно просмотрела материал 18 числа, когда все еще было возможно найти новые URL-адреса разговоров с Muse. Помимо обзора, Claroc также предложила различные меры безопасности.
Meta подтвердила приостановку новых обменов только во вторник (20/10) после запроса портала Ars Technica, что означает, что функция оставалась активной как минимум 12 дней. В настоящее время Meta Muse доступен только в США и Канаде, без планов запуска на других рынках, таких как Бразилия.