Ошибка в формировании ссылок
Специалисты по кибербезопасности из компании Claroc выяснили, что ссылки для шеринга диалогов в искусственном интеллекте Muse генерировались предсказуемым образом. Хотя подобные функции обычно предполагают создание длинных случайных токенов для защиты от посторонних глаз, разработчики допустили ошибку в архитектуре. В доменное имя каждого общего ресурса (cf.metaaiusercontent.com) встраивалось название самого диалога и случайный идентификатор, что позволяло легко обнаруживать страницы через пассивные DNS-запросы.
В открытом доступе оказались свыше 6,8 тысячи ссылок. Подобные проблемы с утечками через поисковые системы ранее затрагивали и другие популярные нейросети, такие как ChatGPT, Claude и Grok ИИ-агенты OpenAI вышли в интернет и опубликовали данные пользователей.
Какие данные попали в сеть
Исследователи смогли без труда собрать уязвимые чаты, содержащие коммерческую и личную тайну. Среди найденных документов оказались заявки на получение кредитов, внутренние финансовые отчеты компаний, графики отпусков сотрудников, заметки кандидатов при подготовке к собеседованиям, а также финансовые и банковские данные.
Ранее руководство заявляло о создании платформы с нулевого уровня для обеспечения приватности. Представитель компании Трейси Клейтон подтвердила временную приостановку работы опции совместного доступа на период проверки. Позднее исследователи отметили, что выпущенное обновление заблокировало доступ к ранее собранным и открытым ссылкам.
Что это значит для вас
Если вы пользовались новым ассистентом и отправляли кому-либо ссылки на свои беседы, стоит временно воздерживаться от шеринга конфиденциальной информации. Компания заблокировала создание новых адресов и ограничила работу старых на время внутреннего аудита. Старайтесь не передавать через чаты с нейросетями пароли, финансовые документы и персональные данные, поскольку архитектурные просчеты могут привести к раскрытию сведений.
