Wyciek z Meta Muse: 6800 udostępnionych czatów w publicznym DNS

18 października firma Claroc opublikowała raport „GhostShares”, z którego wynika, że udostępnione rozmowy z Muse agentem AI Mety dało się znaleźć przez publiczne rekordy DNS. 20 października sprawę opisał serwis Ars Technica, a Meta wstrzymała funkcję udostępniania.

Szczegóły wycieku z Meta Muse

Muse to agent AI, którego Meta uruchomiła 8 września. Potrafi szukać w sieci, wypełniać formularze, umawiać spotkania i łączyć się z kontami użytkownika, w tym z kalendarzem i pocztą (tak opisuje go Gadget Review). Rozmowę można udostępnić linkiem i problem tkwił właśnie w budowie tego linku.

Według raportu Claroc, adres każdej udostępnionej rozmowy powstawał z jej tytułu i losowego identyfikatora, umieszczonych w nazwie subdomeny w domenie cf.metaaiusercontent.com. W raporcie czytamy, że „Muse names each share’s web address after the conversation’s own title, and that address is written into public DNS”.

A to oznacza, że:

1. Gdy ktoś otwierał udostępniony link, jego przeglądarka odpytywała DNS o pełną nazwę hosta.
2. Usługi pasywnego DNS zapisują takie zapytania i pozwalają je przeszukiwać, więc nazwa hosta razem z „tajnym” identyfikatorem lądowała w historii.
3. Z samej nazwy hosta dało się odtworzyć działający link, a sam tytuł często zdradzał temat rozmowy, zanim strona się w ogóle załadowała.

Nie było tu włamania ani zgadywania haseł: według Claroc jedno wyszukiwanie w pasywnym DNS zwracało tysiące takich adresów dosłownie jak spis treści (cytując „like a table of contents”). Jak mówią badacze, identyfikator działa jak sekret tylko dopóki pozostaje sekretem, a cytując „a hostname is not a secret”. Plik robots.txt prosił wyszukiwarki, żeby omijały udostępnione strony, ale to reguluje jedynie indeksowanie, a nie sam dostęp (badacze z resztą w ogóle nie musieli korzystać z wyszukiwarek).

Co wyciekło?

Po odfiltrowaniu szumu, Claroc znalazł ponad 6800 nazw hostów udostępnionych rozmów, a w serwisie urlscan.io leżało już ponad 75 zapisanych skanów takich stron. Badacze otworzyli tylko kilkaset z nich. Większość była niegroźna, ale wśród nich znalazły się m.in.:

1. przygotowanie kandydata do poufnej rozmowy rekrutacyjnej z jednym z czołowych laboratoriów AI, z nazwiskiem osoby kontaktowej i godziną spotkania,
2. wewnętrzny przegląd przychodów firmy marketingowej przygotowany dla jej prezesa,
3. wniosek kredytowy małej firmy z wnioskowaną kwotą,
4. lista zadań z alertem bankowym o oszustwie, fragmentem numeru konta i szczegółami transakcji,
5. raport inwestora nieruchomości z adresami i kwotami kredytów,
6. całoroczny kalendarz urlopów pracowników.

Ważne zastrzeżenie: chodzi wyłącznie o rozmowy, które użytkownicy sami udostępnili, a nie o wszystkie prywatne czaty. Claroc nie znalazł też śladów, żeby ktoś te dane wykorzystał, i nie publikuje żadnych nazw ani linków.

Jak zareagowała Meta?

Claroc zgłosił problem w programie bug bounty Mety 8 października. Po publikacji Ars Technica Meta przekazała, że „we’ve paused this functionality while we review this report and consider changes to how these links can be discovered” (cytat za Dataconomy).

20 października badacze sprawdzili ponownie 40 wcześniej działających linków i żaden już się nie otwierał. Nazwy hostów, a więc i tytuły rozmów, wciąż jednak zostają w historii pasywnego DNS.

Dlaczego jest o tym głośno?

Bo Muse to nie zwykły czatbot, tylko agent z dostępem do kalendarza, poczty i dokumentów, więc rozmowy z nim naturalnie zawierają dane firmowe i finansowe. Wątek o tym na Hacker News zebrał ponad 200 punktów, a sam mechanizm jest wyjątkowo prosty: żadnego exploita, tylko zwykłe, publicznie dostępne narzędzia.

To też nie pierwszy kłopot z udostępnianymi czatami. Cyber Security News przypomina wcześniejsze przypadki udostępnionych rozmów z ChatGPT, Groka i Claude, które trafiały do publicznego obiegu. Pisałem też niedawno o wycieku z OpenCode i ataku hakerskim AI na ponad 100 firm: bezpieczeństwo agentów AI robi się jednym z głównych tematów tej jesieni.

Na co zwrócić uwagę na przyszłość?

Po pierwsze, na to, że link „dla każdego, kto go ma” oznacza w praktyce stronę publiczną. Udostępniajmy tylko to, co moglibyśmy pokazać światu.

Po drugie, na tytuły rozmów. W przypadku Muse to właśnie one wyciekały, więc nie wpisujmy w nie nazw klientów, kwot ani nazwisk.

Po trzecie, na sprzątanie po sobie. Tam, gdzie się da, usuwajmy udostępnione strony, gdy przestają być potrzebne (sprawdźmy też stare linki w ChatGPT i innych narzędziach).

Claroc radzi firmom traktować tworzenie takich linków jak wysyłanie danych na zewnątrz, a w razie braku kontroli blokować muse.ai i metaaiusercontent.com na firmowych urządzeniach. Warto przy tym pamiętać, że Claroc sprzedaje narzędzia do monitorowania użycia AI i SaaS, a raport kończy się ich reklamą.

FAQ

Czy wyciek Meta Muse objął wszystkie rozmowy?

Nie. Według raportu Claroc chodzi wyłącznie o rozmowy udostępnione linkiem. Prywatne sesje nie były objęte opisanym problemem.

Czy udostępnione linki Muse wciąż działają?

Według Claroc 40 sprawdzonych ponownie linków przestało działać 20 października, po tym jak Meta wstrzymała udostępnianie. Tytuły rozmów nadal widnieją jednak w historii pasywnego DNS.

Czym jest pasywny DNS?

To bazy, które zapisują obserwowane zapytania DNS, czyli nazwy domen, o które pytały komputery, razem z ich adresami IP. Można je przeszukiwać, więc każda nazwa hosta, którą ktoś odwiedził, może tam zostać na długo.