Meta Muse спря споделянето: адресът издаваше разговора

21.10

време за четене: 4 мин.

Агентът Muse на Meta работи в отделна виртуална машина за всеки потребител, в изолирана клетка и зад пазач, който проверява всяка връзка навън. Слабото място се оказа другаде - в начина, по който се строи адресът на споделен разговор. Meta спря споделянето, когато се видя, че заглавието на разговора стои в самия адрес и всеки може да го намери.

В тъмен офис вечер робот подава на жена запечатан плик, но пликът е прозрачен и писмото вътре се вижда, а мъж на съседното бюро вече се е навел да го прочете, докато жената го забелязва изненадано.

Какво спря Meta

На 20 октомври Meta потвърди пред Ars Technica и The Verge, че спира функцията за споделяне в Muse, докато преглежда доклад на изследователи по сигурността. „Спряхме тази функционалност, докато преглеждаме доклада и обмисляме промени в начина, по който тези връзки могат да бъдат открити", казва говорителят Трейси Клейтън в изявление пред The Verge.

Докладът е на фирмата за сигурност Claroc. По нейни данни са открити над 6800 адреса на споделени разговори, а няколкостотин от тях са отворени без профил и без вход. Сред тях има бележки на кандидат за поверителен разговор за ръководна позиция в голяма AI лаборатория, вътрешен преглед на приходите на маркетингова компания, предназначен за изпълнителния ѝ директор, молба за кредит на малък бизнес и годишен график на отпуските на десетки служители.

Claroc е подала доклада в програмата на Meta за награди за открити уязвимости на 8 октомври. На 20 октомври фирмата проверява отново 40 споделяния, които по-рано са се отваряли без профил, и нито едно вече не се отваря.

Защо адресът в Meta Muse издаде разговора

Споделянето в Meta Muse работи като при много AI асистенти: потребителят иска връзка, а страницата се отваря за всеки, който я има. Адресът съдържа дълъг случаен низ, който не може да се познае. Проблемът е в останалата част.

Muse слага заглавието на разговора в поддомейна, тоест в името на сървъра, а не в пътя след него. Опростен пример от Ars Technica е q3-revenue-review-7b1e42f0.cf.metaaiusercontent.com. Когато получателят отвори връзката, браузърът му пита DNS - указателя на интернет - къде се намира този сървър. Търговските услуги за пасивен DNS записват такива запитвания и ги правят търсими.

„Ако ни бяхте попитали предварително, щяхме да предположим, че събирането им ще изисква сериозно усилие", пишат изследователите. „Отне едно запитване."

Случайният низ пази адреса само докато никой не го е отворил. След първото отваряне цялото име, заедно с низа и заглавието, вече е в публичен указател.

Нашият анализ: защитата стоеше другаде

В публикацията си за сигурността на Muse Meta описва подробна архитектура. Агентът работи в изолирана клетка, не вижда истинските пароли за свързаните услуги, а всяка връзка навън минава през пазач, когото не може да заобиколи. Компанията плаща до 300 000 долара за валидни доклади за уязвимости.

Нищо от това не е било пробито. Изтичането идва от решение, което изглежда козметично - какво се пише в адреса. Случаят не е първи от този вид. Claroc припомня, че през 2025 г. споделени разговори с ChatGPT се появиха в резултатите на Google. Muse е взел поуката и забранява на търсачките да обхождат споделените страници, но пасивният DNS не е търсачка.

Има и второ напрежение. Muse попълва формуляри, записва срещи и пазарува, затова иска достъп до повечето профили на потребителя. Три седмици след пускането му изследователят Патрик Уордъл намери пропуск в приложението за Mac, през който друго приложение на същото устройство можеше да поеме профила в Muse. Колкото по-широк достъп иска един агент, толкова по-скъпа е всяка дребна грешка в дизайна.

Картината има и граници. Claroc е отворила само извадка, не може да каже колко дълго е била достъпна всяка страница и няма доказателства, че някой е злоупотребил със споделянията. Самите имена на сървърите обаче остават в историята на пасивния DNS и след спирането.

Какво може да се направи

Muse не изисква внедряване от администратор, затова служители може да го ползват, без някой в организацията да го е одобрил. Изследователите препоръчват фирмите да проверят кой ползва такива инструменти и дали създава публични споделяния със служебни данни.

Запишете в правилата за ползване на AI, че споделената връзка към разговор е публична страница.
Третирайте споделянето като изнасяне навън на всичко, което е в разговора.
Преди да одобрите инструмент, създайте пробно споделяне и вижте какво попада в адреса.

Споделената връзка към AI разговор е изнасяне на данни, а не бележка до колега.

Заключение

Muse се оказа добре защитен отвътре и изтече отстрани, през най-обикновената си функция. Сигурността на един агент се мери и по подробностите, които никой не смята за сигурност.

Искате да започнете с AI от нулата? Безплатният курс „Основи на AI“ е 17 видео урока, около 35 минути, със сертификат: Започнете безплатния курс по AI

Помагаме на български организации да ползват AI агенти, без служебните данни да излизат навън по незабелязан път. Услугите ни покриват одит, оценка на готовност, обучение на екипи и имплементация на специализирани AI автоматизации за всяка организация. Препоръчваме консултация, когато служителите вече ползват AI асистенти, които никой в организацията не е одобрявал. [Свържете се с нас за консултация: academy@razvivai.se]