Компания Meta приостановила работу функции обмена данными через веб-ссылки в ИИ-агенте Muse. Решение принято после обнаружения критической уязвимости, из-за которой приватные документы и переписки пользователей стали доступны посторонним лицам.
Специалисты компании Claroc выявили около 6800 страниц, доступных для поиска. Среди утекших данных оказались финансовые отчеты, заявки на банковские кредиты, сведения об ипотечных платежах и графики отпусков сотрудников. Исследователи обнаружили эти адреса с помощью одного запроса к базам пассивного DNS.
Проблема возникла из-за особенностей формирования URL-адресов. Ссылки размещались на домене cf.metaaiusercontent.com, а названия переписок становились частью поддомена. Это позволило сторонним лицам находить документы в публичных базах данных без участия владельцев аккаунтов.
В Meta подтвердили приостановку функции после получения отчета, однако сроки восстановления работы сервиса не уточняются. Ранее ИИ-агент Muse уже подвергался критике со стороны экспертов по безопасности, в частности, из-за обнаруженной уязвимости нулевого дня, позволявшей получить контроль над учетной записью пользователя.
