Meta Muse выдаёт личные и деловые секреты пользователей через публичные ссылки
Muse exposes users' personal and business secrets when they share conversations
Исследователи из Claroc обнаружили, что ссылки для обмена диалогами в Meta Muse строятся так, что название беседы попадает в поддомен cf.metaaiusercontent.com и фиксируется в публичных DNS-записях. Одним запросом они нашли 6800 таких ссылок, а внутри — заявку на кредит, отчёт о выручке для CEO и график отпусков сотрудников. Meta приостановила функцию обмена, пока разбирается с проблемой.
Если бы вы спросили нас заранее, мы бы предположили, что на сбор всего этого потребуются реальные усилия. Хватило одного запроса.
- lmf4lol
Мы строим платформу персонального ИИ-ассистента в Европе. Ох, мужик. Это ЧЕРТОВСКИ СЛОЖНО! У нас сейчас 20 платящих пользователей, и то, что эти люди делают, просто потрясающе, лол. Такое реально не придумаешь.
Сложность построения такого бизнеса — это то, что я сильно недооценил. Особенно если позволить обвязке развиваться. Для наших 20 пользователей ни одна песочница больше не одинакова. Каждый её кастомизировал, у всех запущены крон-задачи, построены приложения или автоматизации.
И тут просто подумать, что Meta Muse набрала миллион пользователей буквально мгновенно. Я совсем не удивлён.
С другой стороны. У Цука буквально бесконечные деньги. Можно было бы ожидать лучшего, да?
EDIT: Потому что кто-то ниже справедливо спросил, смотрим ли мы песочницы пользователей: Да! ЕСЛИ они нас попросят. Наши пользователи не инженеры и часто застревают, и даже LLM не может разобраться. ТОГДА — И ТОЛЬКО ТОГДА — мы подключаемся к песочнице и помогаем им.
- ryandrake
Не может быть. Ты хочешь сказать, что Meta, из всех компаний, будет небрежно обращаться с пользовательскими данными и приватностью? Совершенно невероятно!
- JumpCrisscross
> Но одно ключевое проектное решение при построении URL сделало ссылки легко обнаруживаемыми. В результате исследователи из компании по безопасности Claroc заявили, что смогли перечислить 6800 ссылок, созданных пользователями Muse для обмена разговорами с другими.
Чтобы было ясно: пользователи хотели, чтобы эти разговоры были доступны кому-то? Meta просто создала угадываемый capability URL?
Или все разговоры пользователей Muse по умолчанию были публичными, просто за неочевидным URL?
- omoikane
Урок здесь в том, что имена поддоменов можно запросить благодаря пассивным DNS-записям, и размещать в именах поддоменов то, что не должно быть угадываемым, — плохая идея.
- hamburglar
Я в недоумении от всех этих людей, которые дают muse свою личную информацию. Я попробовал muse. Ничего локально не устанавливал и не давал никакой личной информации, кроме свежего meta-аккаунта. Я просто потыкал бесплатную виртуалку какое-то время. Я ни за что на свете не дам ему доступ к чему-либо чувствительному.