Исследователи Claroc обнаружили через базу истории DNS более 6800 адресов страниц с общими чатами AI-помощника Meta Muse. Некоторые из проверенных ими страниц содержали личные финансовые сведения и внутренние документы компаний. Meta приостановила функцию публикации чатов.
Проблема была в устройстве ссылок: Muse включал название разговора в поддомен адреса страницы. Когда пользователь или получатель открывал такую страницу, её доменное имя могло попасть в пассивный DNS — базу, которая сохраняет сведения о ранее встречавшихся доменах. По данным Claroc, одного запроса к такой базе хватило, чтобы найти более 6800 имён хостов. Страницы открывались без входа в аккаунт Meta, если был известен адрес.
Claroc изучила несколько сотен найденных страниц. Среди них исследователи обнаружили материалы о заявке на кредит для малого бизнеса, банковском предупреждении о мошенничестве и внутренних финансовых показателях компаний. Исследователи сообщили Meta о проблеме 8 октября. Компания приостановила публикацию чатов и заявила, что изучает, как изменить доступность ссылок для обнаружения.
В обновлении отчёта от 20 октября Claroc сообщила, что повторно проверила 40 ранее доступных без авторизации страниц: все они перестали открываться. При этом, как отмечает IT Home, записанные в истории DNS доменные имена и содержащиеся в них названия разговоров сохраняются. Claroc не нашла свидетельств злоупотребления доступом к страницам. Исследователи проверяли один способ обнаружения ссылок, поэтому по числу найденных адресов нельзя судить о масштабе публикации чатов Muse в целом.
Источники: IT Home, pcworld.com.
