Meta Muse expone secretos personales y de negocio con solo compartir una conversación
Muse exposes users' personal and business secrets when they share conversations
Los investigadores de Claroc descubrieron 6.800 enlaces de conversaciones compartidas en Muse mediante una única consulta de DNS pasivo. El fallo: el título del chat va en el subdominio (cf.metaaiusercontent.com), así que los registros DNS públicos lo indexan. Entre los datos hallados había informes de ingresos internos, solicitudes de préstamo y alertas de fraude bancario. Meta suspendió la función de compartir mientras revisa el diseño.
Si nos hubieran preguntado antes, habríamos supuesto que reunir todo esto requeriría un esfuerzo real. Bastó una sola consulta.
- lmf4lol
Estamos construyendo una plataforma de Asistente Personal de IA en Europa. Ay madre. ¡Es JODIDAMENTE DIFÍCIL! Ahora tenemos 20 usuarios de pago y es increíble lo que hace esa gente jaja. De verdad que no te lo puedes inventar.
La complejidad de construir un negocio así es algo que realmente he subestimado. Especialmente si permites que el harness evolucione. Para nuestros 20 usuarios, ya no hay ningún sandbox que sea igual. Todos lo personalizaron, tienen crons ejecutándose, construyeron apps o automatizaciones.
Y luego pensar que Meta Muse llegó a un millón de usuarios en literalmente nada. No me sorprende en absoluto.
Por otro lado. Zuck tiene literalmente dinero infinito para gastar. Esperarías algo mejor, ¿no?
EDIT: Porque alguien más abajo preguntó con razón si miramos los sandboxes de los usuarios: ¡Sí! SI nos lo piden. Nuestros usuarios no son ingenieros y a menudo se atascan y ni siquiera el LLM puede resolverlo. ENTONCES - Y SOLO ENTONCES - nos conectamos al sandbox y les ayudamos.
- ryandrake
No podría ser verdad. ¿Me estás diciendo que Meta, de entre todas las empresas, sería descuidada con los datos de los usuarios y la privacidad? ¡Totalmente increíble!
- JumpCrisscross
> Pero una decisión de diseño central para construir URLs ha hecho que los enlaces sean fáciles de descubrir. Como resultado, los investigadores de la firma de seguridad Claroc dijeron que pudieron enumerar 6.800 enlaces que los usuarios de Muse crearon para compartir conversaciones con otros.
Para que quede claro, ¿los usuarios pretendían que estas conversaciones se compartieran con alguien? ¿Meta simplemente creó una URL de capacidad adivinable?
¿O todas las conversaciones de los usuarios de Muse eran públicas por defecto, solo que detrás de una URL oscura?
- omoikane
La lección aquí es que los nombres de subdominio se pueden consultar debido a los registros DNS pasivos, y poner cosas que se supone que no son adivinables en nombres de subdominio es una mala idea.
- hamburglar
Estoy desconcertado por toda esta gente que le da su información personal a muse. Probé muse. No instalé nada localmente y no le di ninguna información personal más allá de una identidad meta nueva. Solo estuve hurgando en la vm gratuita un rato. No hay forma en el infierno de que le dé acceso a algo sensible.