Дизайнерский просчёт Meta допустил утечку личных чатов с ИИ Muse

Дизайнерский просчёт в механизме обмена ссылками у чат-бота Muse от Meta привёл к утечке личных разговоров пользователей с искусственным интеллектом. Исследователи по безопасности из фирмы Claroc обнаружили, что ссылки, которые пользователи создавали для того, чтобы поделиться беседой с ассистентом, можно было без особого труда найти через обычный поиск по DNS-записям. После того как специалисты открыли несколько сотен таких страниц, им стали доступны документы, явно не предназначенные для посторонних глаз.

Среди обнаруженного оказались заметки кандидата, готовившегося к конфиденциальному собеседованию с одной из передовых лабораторий в сфере ИИ, с указанием внутреннего контакта и времени встречи. Там же был внутренний отчёт о доходах национальной маркетинговой компании, адресованный её генеральному директору, заявка на кредит владельца малого бизнеса с указанием запрошенной суммы, список дел с уведомлением о банковском мошенничестве, включая часть номера счёта, сумму и время транзакции. Кроме того, исследователи наткнулись на внутренний отчёт о результативности инвестора в недвижимость с двумя адресами объектов и точными цифрами доходности, дохода и ипотеки, а также на полный годовой график отпусков сотрудников одной организации с десятками имён и датами отсутствия.

Самое неприятное для Meta заключается в том, что собрать всё это не составило никакого труда. Как иронично заметили сами исследователи, если бы их заранее спросили, они бы предположили, что на сбор подобных материалов потребуются серьёзные усилия, а на деле хватило одного запроса. Компания отреагировала на запрос журналистов довольно оперативно: в официальном заявлении Meta сообщила, что приостанавливает работу функции обмена ссылками, пока изучает отчёт и рассматривает изменения в том, как эти ссылки могут быть обнаружены. Представители компании подчеркнули, что программа вознаграждения за найденные уязвимости была открыта именно для того, чтобы исследователи помогали совершенствовать продукт, и что у пользователей есть возможность делиться отдельными материалами Muse, создавая страницу, доступную по ссылке.

Любопытно, что о находке в Claroc сообщили ещё 8 октября через программу bug bounty, а также пытались связаться с сотрудниками Meta через LinkedIn, но не получили ответа ни по одному из каналов. Техническая суть проблемы оказалась почти банальной. Все ссылки Muse используют домен cf.metaaiusercontent.com, а в поддомен разработчики решили вписать название беседы. В результате получались адреса вроде home-sale-budget-9f21c8a3 или loan-application-draft-a4c9e2, где понятное человеку название соседствует со случайным набором символов. Именно размещение заголовка разговора в поддомене, а не в пути URL, и сделало возможным публичное обнаружение страниц. Как только предполагаемый получатель открывал ссылку, DNS-информация попадала в базу пассивного DNS, которую можно свободно прошерстить через коммерческие сервисы. Исследователи назвали такие страницы GhostShares — призрачными ссылками, которые открываются для людей, никогда не получавших адрес, но способных найти его самостоятельно.

Ситуация выглядит особенно болезненно на фоне того, как Meta продвигала свой продукт. Muse стремительно взлетел в топ Apple App Store, ассистент самостоятельно заполняет формы, бронирует встречи, совершает покупки, создаёт документы и выполняет массу других действий. Для полноценной работы ему требуется доступ к большинству аккаунтов пользователя, и компания Марка Цукерберга активно рекламировала ассистента как платформу, заслуживающую исключительного доверия. Сам глава Meta ещё в прошлом месяце заявлял, что Muse создавался с нуля с прицелом на приватность и безопасность.

Это уже не первый серьёзный инцидент вокруг новинки. Через три недели после запуска эксперт по безопасности macOS Патрик Уордл обнаружил уязвимость нулевого дня, позволявшую любому другому приложению на том же устройстве получить полный контроль над аккаунтом Muse. Meta тогда преуменьшила серьёзность проблемы, сославшись на то, что эксплуатация невозможна без предварительного взлома устройства, и не признала находку Уордла о том, что для захвата аккаунта достаточно простой атаки ClickFix. Теперь лёгкость обнаружения ссылок добавляет аргументов тем, кто сомневается, достоин ли Muse того уровня доступа, который он требует. После приостановки функции пользователи, по крайней мере на время, избавлены от этой конкретной угрозы.