Meta Muse: Σοβαρό κενό απορρήτου εξέθεσε προσωπικά και εταιρικά μυστικά χρηστών

Στην άμεση αναστολή της δυνατότητας κοινής χρήσης συνομιλιών στον νέο βοηθό τεχνητής νοημοσύνης Muse προχώρησε η Meta, έπειτα από αποκαλύψεις ερευνητών κυβερνοασφάλειας ότι ευαίσθητα προσωπικά και επιχειρηματικά δεδομένα ήταν προσβάσιμα σε τρίτους. Το περιστατικό έρχεται σε πλήρη αντίθεση με τις πρόσφατες διαβεβαιώσεις του διευθύνοντος συμβούλου της εταιρείας, Μαρκ Ζάκερμπεργκ, ο οποίος είχε δηλώσει πως το Muse αναπτύχθηκε εξ αρχής με βασικούς πυλώνες την ασφάλεια και την προστασία της ιδιωτικότητας.

Η ανατομία του προβλήματος και τα λεγόμενα «GhostShares»

Όπως συμβαίνει σε πολλές διαδικτυακές πλατφόρμες, το Muse προσφέρει στους χρήστες τη δυνατότητα να διαμοιράζονται συνομιλίες, αναζητήσεις και παραγόμενο περιεχόμενο μέσω μοναδικών συνδέσμων (URLs). Συνήθως, για λόγους προστασίας, οι σύνδεσμοι αυτοί περιέχουν μια μακρά, τυχαία συμβολοσειρά που καθιστά αδύνατη την πρόβλεψή τους από κακόβουλους χρήστες.

Ωστόσο, μια κρίσιμη σχεδιαστική απόφαση της Meta ακύρωσε αυτή την ασφαλιστική δικλείδα. Η εταιρεία επέλεξε να ενσωματώνει τον τίτλο της εκάστοτε συνομιλίας απευθείας στη διεύθυνση URL, υπό το domain cf.metaaiusercontent.com (για παράδειγμα: loan-application-draft-... ή q3-revenue-review-...). Ερευνητές της εταιρείας ασφαλείας Claroc ανακάλυψαν ότι, μόλις ένας σύνδεσμος ανοιχτεί, η διεύθυνση καταγράφεται σε δημόσια αρχεία παθητικού DNS (passive DNS), τα οποία είναι προσβάσιμα μέσω εμπορικών εργαλείων.

Με ένα μόλις ερώτημα αναζήτησης, οι ερευνητές κατάφεραν να εντοπίσουν 6.800 δημόσιους συνδέσμους. Εξετάζοντας μερικές εκατοντάδες από αυτούς, βρέθηκαν μπροστά σε άκρως εμπιστευτικές πληροφορίες, όπως εταιρικά οικονομικά αποτελέσματα, αιτήσεις τραπεζικών δανείων και προσωπικές συνομιλίες. Η Claroc χαρακτήρισε αυτά τα ευρήματα ως «GhostShares»: σελίδες προσβάσιμες από άτομα στα οποία δεν κοινοποιήθηκε ποτέ ο σύνδεσμος, αλλά μπόρεσαν να τις εντοπίσουν αυτόνομα.

Η αντίδραση της Meta και οι ευρύτεροι προβληματισμοί

Λίγες ώρες μετά τη δημοσιοποίηση της έρευνας, η Meta ανακοίνωσε ότι «παγώνει» προσωρινά τη λειτουργία κοινοποίησης, επισημαίνοντας ότι επανεξετάζει τον τρόπο διαμόρφωσης των συνδέσμων μέσω του προγράμματος bug bounty. Παρότι η κίνηση αυτή εξουδετερώνει την άμεση απειλή, το συμβάν επαναφέρει στο προσκήνιο έντονες ανησυχίες για το επίπεδο ασφάλειας της πλατφόρμας.

Το Muse σημείωσε ταχεία άνοδο στην κορυφή του App Store της Apple, καθώς λειτουργεί ως αυτόνομος πράκτορας που συμπληρώνει φόρμες, προγραμματίζει ραντεβού και πραγματοποιεί αγορές. Για να επιτελέσει αυτές τις λειτουργίες, απαιτεί εκτεταμένη πρόσβαση στους προσωπικούς λογαριασμούς των χρηστών. Το νέο αυτό περιστατικό, σε συνδυασμό με πρόσφατη ευπάθεια zero-day που εντόπισε ο ειδικός ασφαλείας Πάτρικ Γουάρντλ στο περιβάλλον macOS, εγείρει σοβαρά ερωτήματα για το κατά πόσο το εργαλείο είναι έτοιμο να διαχειριστεί την εμπιστοσύνη και τα ευαίσθητα δεδομένα εκατομμυρίων πολιτών και επιχειρήσεων.