افشای اطلاعات محرمانه کاربران در ابزار هوش مصنوعی Muse شرکت Meta به دلیل نقص در طراحی URL — Muse exposes users' personal and business secrets when they share conversations
خلاصه
محققان امنیت سایبری کشف کردند که قابلیت اشتراک‌گذاری مکالمات در دستیار هوش مصنوعی Muse شرکت Meta به دلیل قرار دادن عنوان گفتگو در زیردامنه، از طریق سیستم‌های DNS عمومی قابل کشف است. این طراحی ضعیف باعث نشت داده‌های شخصی و تجاری حساس کاربران شد و متا را مجبور به تعلیق موقت این ویژگی کرد.
ابزار هوش مصنوعی Muse به عنوان یک ایجنت همه‌منظوره و پیشرفته از سوی Meta معرفی شده است که توانایی انجام کارهای خودکار مانند رزرو، خرید و پر کردن فرم‌ها را دارد. برای اینکه این ابزار بتواند وظایف خود را به درستی انجام دهد، به دسترسی گسترده‌ای به حساب‌ها و اطلاعات شخصی کاربران نیاز دارد. اما اخیراً مشکلات امنیتی متعددی اعتبار این پلتفرم را زیر سوال برده است.
ماجرای نشت اطلاعات از طریق GhostShares
مانند بسیاری از سرویس‌های آنلاین، Muse به کاربران اجازه می‌دهد تا مکالمات، تصاویر و جستجوهای خود را با دیگران به اشتراک بگذارند. این کار معمولاً از طریق تولید یک لینک یونیک با رشته‌ای طولانی و غیرقابل حدس انجام می‌شود تا دسترسی افراد غیرمجاز محدود شود. با این حال، محققان شرکت امنیتی Claroc متوجه شدند که طراحی ساختار URL در Muse به گونه‌ای است که این لینک‌ها به‌راحتی قابل کشف هستند.
محققان توانستند حدود ۶۸۰۰ لینک اشتراک‌گذاری ایجاد شده توسط کاربران را استخراج کنند. پس از بررسی این لینک‌ها، مشخص شد که اطلاعات بسیار حساسی به صورت عمومی در دسترس قرار گرفته است، از جمله:
- یادداشت‌های آماده‌سازی برای تماس‌های محرمانه با یک آزمایشگاه پیشرو هوش مصنوعی
- گزارش‌های داخلی بررسی درآمد یک شرکت بازاریابی بزرگ مختص مدیرعامل
- درخواست وام صاحبان مشاغل کوچک همراه با مبلغ درخواستی
- لیست کارهای شخصی حاوی هشدارهای بانکی و جزئیات تراکنش‌ها
- گزارش‌های عملکرد مالی و ملکی سرمایه‌گذاران
- تقویم کامل تعطیلات کارکنان یک شرکت
جزئیات فنی آسیب‌پذیری
دلیل اصلی این مشکل، تصمیم مهندسی در نحوه ساختاردهی آدرس‌های وب است. تمام لینک‌های اشتراک‌گذاری Muse از دامنه cf.metaaiusercontent.com استفاده می‌کنند. نکته حیاتی اینجاست که نام مکالمه (Conversation Title) مستقیماً در زیردامنه (Subdomain) قرار می‌گیرد، نه در مسیر (Path) URL. نمونه‌ای از این ساختار به شکل زیر است:
q3-revenue-review-7b1e42f0.cf.metaaiusercontent.com
وقتی کاربر روی لینک کلیک می‌کند، درخواست DNS ارسال می‌شود و رکورد آن در پایگاه‌های داده Passive DNS ثبت می‌گردد. از آنجا که عنوان گفتگو در بخش زیردامنه قرار دارد، هر کسی می‌تواند با جستجوی ساده در رکوردهای DNS عمومی، این لینک‌ها را پیدا کند. محققان این صفحات را GhostShares نامیده‌اند.
واکنش شرکت Meta و حواشی امنیتی
پس از گزارش این آسیب‌پذیری توسط محققان، شرکت Meta اعلام کرد که قابلیت اشتراک‌گذاری را تا بررسی و بازنگری کامل متوقف کرده است. این دومین چالش جدی امنیتی برای Muse طی هفته‌های اخیر است؛ پیش‌تر نیز یک آسیب‌پذیری صفر روزه کشف شده بود که به برنامه‌های دیگر اجازه می‌داد کنترل حساب کاربری Muse را به دست بگیرند.
چرا این مسئله برای مهندسین نرم‌افزار اهمیت دارد؟
این اتفاق یک یادآوری مهم در زمینه طراحی سیستم‌های توزیع لینک و حریم خصوصی است:
- اجتناب از قرار دادن داده‌های حساس در DNS: اطلاعاتی که نباید ایندکس یا جستجو شوند نباید در بخش‌هایی از URL قرار گیرند که توسط سرورهای DNS یا ابزارهای مانیتورینگ ثبت می‌شوند.
- انتخاب درست Path در برابر Subdomain: پارامترهای شناسایی و عناوین محرمانه نباید وارد ساختار زیردامنه شوند.
- اعتماد به ابزارهای هوش مصنوعی: ایجنت‌های هوش مصنوعی نیازمند دسترسی‌های سطح بالا به سیستم‌ها و اکانت‌های کاربران هستند. بنابراین، هرگونه باگ در لایه امنیتی چنین ابزارهایی می‌تواند فجایع بزرگی در زمینه حریم خصوصی رقم بزند.
این مطلب به‌صورت کاملاً خودکار و با هوش مصنوعی از مقالهٔ اصلی و بحث هکرنیوز تهیه شده و ممکن است خطا داشته باشد. حقوق مطلب اصلی متعلق به نویسندهٔ آن است. قوانین و گزارش مشکل