ИИ-помощник Muse от компании Meta позволяет пользователям делиться результатами поиска и перепиской через уникальные ссылки. Специалисты фирмы Claroc выяснили, что эти адреса легко обнаружить с помощью сервисов пассивного DNS. Исследователям удалось найти 6800 ссылок, содержащих конфиденциальную информацию.
Проблема заключается в структуре URL, использующей домен cf.metaaiusercontent.com. В адрес ссылки разработчики включают название диалога, которое индексируется в публичных DNS-записях. Это позволяет сторонним лицам находить страницы, которые не предназначались для общего доступа. В Claroc назвали такие страницы GhostShares.
Ранее Muse уже подвергался критике в сфере безопасности. Через три недели после запуска эксперт Патрик Уордл обнаружил уязвимость нулевого дня, позволявшую другим приложениям на устройстве перехватывать контроль над аккаунтом пользователя. Meta тогда преуменьшила серьезность найденной бреши.
Технический директор Claroc Асаф Апрозпер сообщил, что компания пыталась связаться с Meta по поводу обнаруженной проблемы, но не получила ответа. По мнению экспертов, текущая работа ссылок является особенностью дизайна. Пользователям рекомендуется ограничивать объем личных данных в чатах и удалять ссылки.
