Meta Muse expose les secrets personnels et professionnels lors du partage de conversations
ars ·
Des chercheurs en sécurité de Claroc ont révélé que l'agent d'IA Muse de Meta expose involontairement des données utilisateur sensibles via sa fonctionnalité de partage de conversations. En incluant le titre de la conversation dans l'URL générée, les liens deviennent détectables grâce à des recherches DNS passives, permettant à quiconque de les trouver et d'y accéder sans invitation directe. L'enquête a mis au jour des milliers de ces « GhostShares », contenant des détails privés tels que des demandes de prêt, des notes de recrutement exécutif et des rapports financiers. Cette vulnérabilité persiste malgré les affirmations du PDG de Meta, Mark Zuckerberg, selon lesquelles la plateforme a été construite avec la confidentialité et la sécurité comme fondements essentiels. La situation est aggravée par une exploitation zero-day récente découverte par Patrick Wardle, qui permettait à d'autres applications de détourner les comptes Muse sur des appareils compromis. Bien que Claroc ait déterminé que ce comportement semble être intentionnel, ils ont noté que Meta n'a pas répondu à leurs inquiries concernant cette faille. Par conséquent, les utilisateurs sont invités à limiter les informations personnelles dans les chats et à supprimer rapidement les liens partagés pour atténuer ces risques.
ars