تصميم روابط Muse من Meta يكشف معلومات حساسة عن المستخدمين
كشفت تقارير أن مساعد الذكاء الاصطناعي الجديد Muse من Meta يعرّض معلومات حساسة للكشف عندما يشارك المستخدمون محادثات عبر روابط الويب. وأوضح باحثون من شركة الأمن السيبراني Claroc أن استعلاماً واحداً يمكن أن يكشف آلاف روابط المحادثات التي أنشأها مستخدمو Muse.
يتيح Muse للمستخدمين مشاركة أنواع مختلفة من المحتوى، بما في ذلك المحادثات والصور، عبر توليد روابط URL فريدة. ورغم أن هذه الروابط مصممة عادةً لتكون معقدة ويصعب تخمينها، فإن طريقة بناء Muse لها جعلتها سهلة الاكتشاف.
اكتشاف سهل للروابط الحساسة
وفقاً لشركة Claroc، تمكنوا من العثور على 6,800 رابط لمحادثات مشتركة بمجرد إجراء بحث DNS سلبي. تتضمن هذه الطريقة تتبع عمليات تحليل أسماء النطاقات السابقة، مما قد يكشف عن روابط URL لم يكن المقصود منها أن تكون متاحة للعامة. ومن بين المعلومات الحساسة التي كُشفت:
- ملاحظات مرشح لمكالمة بحث تنفيذي سرية، تضمنت تفاصيل اتصال داخلية وأوقات اجتماعات.
- مراجعة إيرادات داخلية لشركة تسويق وطنية، موجهة إلى الرئيس التنفيذي.
- طلب قرض لصاحب شركة صغيرة يتضمن المبلغ المطلوب.
- قائمة مهام تحتوي على تنبيه احتيال مصرفي مع تفاصيل جزئية عن الحساب.
- تقرير أداء لمستثمر عقاري يتضمن عناوين عقارات محددة وأرقاماً مالية.
- تقويم إجازات سنوي كامل لمكان عمل يدرج غيابات الموظفين.
وأشار الباحثون إلى أن جمع هذه المعلومات كان أسهل مما كان متوقعاً، وقالوا: «لو سألتمونا مسبقاً، لكنا خمّنا أن جمع هذه المعلومات سيتطلب جهداً حقيقياً. لقد استغرق الأمر استعلاماً واحداً».
خلل في تصميم بنية الروابط
تتضمن روابط URL للمحتوى المشترك في Muse عنوان المحادثة إلى جانب سلسلة طويلة من النص، مما يجعلها قابلة للبحث. على سبيل المثال، روابط مثل home-sale-budget-9f21c8a3.cf.metaaiusercontent.com و loan-application-draft-a4c9e2.cf.metaaiusercontent.com يمكن التعرف عليها بسهولة بسبب بنيتها. وأشارت Claroc إلى هذه الروابط باسم «GhostShares»، موضحة أنه يمكن لأفراد لم يُمنحوا الرابط مباشرة الوصول إليها.
ورغم تأكيدات مارك زوكربيرغ، الرئيس التنفيذي لشركة Meta، بأن Muse صُمم مع مراعاة الخصوصية والأمان، فإن سهولة اكتشاف هذه الروابط تثير مخاوف كبيرة. وقد اكتسب Muse شعبية سريعة، ليصبح أحد التطبيقات الأعلى تصنيفاً في متجر تطبيقات Apple، وهو يتطلب وصولاً واسعاً إلى حسابات المستخدمين ليعمل بفعالية.
وبعد ثلاثة أسابيع من إطلاق Muse، اكتشف خبير أمن macOS باتريك واردل ثغرة zero-day سمحت لتطبيقات أخرى بالسيطرة على حسابات Muse للمستخدمين. وقللت Meta من خطورة هذه الثغرة، مشيرة إلى أن استغلالها كان ممكناً فقط إذا كان الجهاز مخترقاً بالفعل.
وقال آساف أبروزبر، الشريك المؤسس والمدير التقني لشركة Claroc، إن شركته تواصلت مع Meta بشأن هذه النتائج لكنها لم تتلق رداً. وشدد على ضرورة توخي المستخدمين الحذر عند مشاركة الروابط، ونصحهم بتقليل المعلومات الشخصية في المحادثات وحذف الروابط فوراً.
رابط ذو صلة: blog.claroc.io
المصدر: Ars Technica