كشفت Meta Muse عن أسرار شخصية ومهنية للمستخدمين عبر روابط مشاركة المحادثات، وفقاً لبحث أجرته شركة الأمن السيبراني Claroc ونشرته Ars Technica يوم الاثنين. تمكن الباحثون من رصد 6800 رابط أنشأها مستخدمو Muse لمشاركة المحادثات، ثم فتحوا بضع مئات منها وعثروا على معلومات لم يكن من المفترض أن تكون علنية بوضوح. وأبلغت Meta موقع Ars أنها تعلق ميزة المشاركة مؤقتاً أثناء مراجعتها للتقرير ودراسة تغييرات في كيفية اكتشاف هذه الروابط.
Muse هو وكيل الذكاء الاصطناعي الجديد متعدد الأغراض من Meta، وقد تصدّر بسرعة قائمة متجر تطبيقات Apple. ولأداء مهامه، يقوم بملء النماذج وحجز المواعيد وإجراء عمليات الشراء وإنشاء المستندات وتنفيذ إجراءات أخرى بشكل مستقل، وهو ما يتطلب الوصول إلى معظم حسابات المستخدم. وقد روّجت Meta للمساعد كمنصة مبنية على الخصوصية والأمان، لذا فإن تسريب المواد المشتركة يضرب هذا الوعد مباشرة.
كيف اكتشفت Claroc ثغرة GhostShares في Muse
مثل العديد من الخدمات الإلكترونية، أتاحت Muse للمستخدمين خيار إنشاء رابط فريد يمكن لأي شخص استخدامه لتحميل صفحة تستضيف بحثاً أو محادثة أو صورة أو محتوى مشابهاً. وعادةً ما تحتوي هذه الروابط على سلسلة طويلة من النصوص يصعب تخمينها، ويبدو أن Muse اتبعت هذا النهج. لكن قراراً تصميمياً محورياً في بناء عناوين URL جعلها سهلة الاكتشاف.
كانت المشكلة الأوضح هي وضع عنوان المحادثة داخل عنوان الويب بدلاً من مسار URL. من الأمثلة المبسطة home-sale-budget-9f21c8a3.cf.metaaiusercontent.com و loan-application-draft-a4c9e2.cf.metaaiusercontent.com. وبمجرد أن ينقر الشخص المقصود على رابط المشاركة، تُسجَّل معلومات DNS في قواعد بيانات قابلة للبحث، لذا يمكن لبحث DNS السلبي عبر إحدى الخدمات التجارية العديدة أن يكشفه. وقال Asaf Aprozper، الشريك المؤسس والمدير التقني لشركة Claroc، لموقع Ars إنه أبلغ عن النتائج عبر برنامج المكافآت الأمنية من Meta في 8 أكتوبر، وحاول أيضاً التواصل مع أشخاص في Meta عبر LinkedIn، لكنه لم يتلقَ رداً في الحالتين.
- استخدمت روابط مشاركة Muse اسم النطاق cf.metaaiusercontent.com.
- وُضع عنوان المحادثة داخل النطاق الفرعي لعنوان URL، بجوار سلسلة طويلة من النصوص.
