Uma falha de design em links de compartilhamento expõe conversas pessoais dos usuários com o Muse da Meta
wired ·
Pesquisadores de segurança da Claroc descobriram uma falha de design significativa na assistente de IA do Meta, Muse, que permitia enumerar e acessar facilmente conversas sensíveis dos usuários. A vulnerabilidade decorria da forma como os links de compartilhamento eram construídos, especificamente pela incorporação dos títulos das conversas no subdomínio de URLs hospedadas em cf.metaaiusercontent.com. Essa estrutura tornava os links descobertos por meio de pesquisas passivas de DNS, expondo dados privados, como solicitações de empréstimo, relatórios financeiros e agendas pessoais. Em resposta a essas descobertas, o Meta suspendeu o recurso de compartilhamento enquanto revisa o problema e considera as alterações necessárias. Este incidente segue outras preocupações recentes de segurança para o Muse, incluindo uma vulnerabilidade zero-day relatada por Patrick Wardle que poderia permitir o sequestro de contas. Embora o Meta comercialize o Muse como sendo desenvolvido com privacidade e segurança em mente, essa falha destaca os riscos associados à sua integração profunda nas contas dos usuários. A empresa afirmou que o programa de recompensas por bugs facilitou a descoberta desse problema, levando à suspensão imediata da funcionalidade.
wired