Fuga di dati Meta Muse: 6800 chat condivise finite nei DNS pubblici

Il 18 ottobre la società Claroc ha pubblicato il rapporto “GhostShares”, da cui emerge una fuga di dati di Meta Muse: le conversazioni condivise con Muse, l’agente AI di Meta, si potevano trovare attraverso i record DNS pubblici. Il 20 ottobre la vicenda è stata ripresa da Ars Technica e Meta ha sospeso la funzione di condivisione.

I dettagli della fuga di dati di Meta Muse

Muse è l’agente AI che Meta ha lanciato l’8 settembre. Sa cercare sul web, compilare moduli, fissare appuntamenti e collegarsi agli account dell’utente, compresi calendario e posta (così lo descrive Gadget Review). Una conversazione si può condividere tramite link, ed è proprio nella costruzione di quel link che stava il problema.

Secondo il rapporto di Claroc, l’indirizzo di ogni conversazione condivisa era composto dal suo titolo e da un identificatore casuale, inseriti nel nome di un sottodominio di cf.metaaiusercontent.com. Nel rapporto si legge che “Muse names each share’s web address after the conversation’s own title, and that address is written into public DNS”.

Questo significa che:

1. Quando qualcuno apriva un link condiviso, il suo browser interrogava il DNS con il nome host completo.
2. I servizi di DNS passivo registrano queste richieste e permettono di cercarle, quindi il nome host insieme all’identificatore “segreto” finiva nello storico.
3. Dal solo nome host si poteva ricostruire un link funzionante, e il titolo spesso rivelava l’argomento della conversazione prima ancora che la pagina si caricasse.

Non c’è stata nessuna intrusione e nessuna password indovinata: secondo Claroc, una sola ricerca nel DNS passivo restituiva migliaia di questi indirizzi, letteralmente come un indice (“like a table of contents”). Come spiegano i ricercatori, un identificatore funziona da segreto solo finché resta segreto, e “a hostname is not a secret”. Il file robots.txt chiedeva ai motori di ricerca di ignorare le pagine condivise, ma questo regola soltanto l’indicizzazione, non l’accesso (e del resto i ricercatori non hanno avuto bisogno dei motori di ricerca).

Che cosa è trapelato?

Dopo aver filtrato il rumore, Claroc ha trovato oltre 6800 nomi host di conversazioni condivise, e sul servizio urlscan.io c’erano già più di 75 scansioni salvate di queste pagine. I ricercatori ne hanno aperte solo alcune centinaia. La maggior parte era innocua, ma tra queste c’erano, ad esempio:

1. la preparazione di un candidato a un colloquio di lavoro riservato con uno dei principali laboratori di AI, con il nome del referente e l’orario dell’incontro,
2. una revisione interna dei ricavi di un’agenzia di marketing preparata per il suo CEO,
3. una richiesta di prestito di una piccola impresa con l’importo richiesto,
4. una lista di cose da fare con un avviso di frode bancaria, parte di un numero di conto e i dettagli della transazione,
5. un report di un investitore immobiliare con indirizzi e importi dei mutui,
6. il calendario delle ferie dei dipendenti per un anno intero.

Una precisazione importante: si tratta solo delle conversazioni che gli utenti hanno condiviso di propria iniziativa, non di tutte le chat private. Claroc non ha trovato prove che qualcuno abbia sfruttato questi dati e non pubblica nomi né link.

Come ha reagito Meta?

Claroc ha segnalato il problema al programma bug bounty di Meta l’8 ottobre. Dopo l’articolo di Ars Technica, Meta ha dichiarato che “we’ve paused this functionality while we review this report and consider changes to how these links can be discovered” (citazione da Dataconomy).

Il 20 ottobre i ricercatori hanno ricontrollato 40 link che prima funzionavano e nessuno si apriva più. I nomi host, e quindi i titoli delle conversazioni, restano però nello storico del DNS passivo.

Perché se ne parla tanto?

Perché Muse non è un normale chatbot, ma un agente con accesso a calendario, posta e documenti, quindi le conversazioni con lui contengono per natura dati aziendali e finanziari. La discussione su Hacker News ha superato i 200 punti, e il meccanismo è di una semplicità disarmante: nessun exploit, solo normali strumenti pubblici.

Non è nemmeno il primo problema con le chat condivise. Cyber Security News ricorda i casi precedenti di conversazioni condivise di ChatGPT, Grok e Claude finite in circolazione pubblica. Di recente ho scritto anche della violazione di OpenCode e dell’attacco hacker con l’AI a oltre 100 aziende: la sicurezza degli agenti AI sta diventando uno dei temi principali di questo autunno.

A cosa fare attenzione in futuro?

Primo: un link “per chiunque lo abbia” in pratica è una pagina pubblica. Condividiamo solo ciò che potremmo mostrare al mondo.

Secondo: i titoli delle conversazioni. Nel caso di Muse erano proprio loro a trapelare, quindi evitiamo di metterci nomi di clienti, importi o cognomi.

Terzo: fare pulizia. Dove possibile, eliminiamo le pagine condivise quando non servono più (controlliamo anche i vecchi link in ChatGPT e negli altri strumenti).

Claroc consiglia alle aziende di trattare la creazione di questi link come un invio di dati all’esterno e, in mancanza di controllo, di bloccare muse.ai e metaaiusercontent.com sui dispositivi aziendali. Va ricordato però che Claroc vende strumenti per monitorare l’uso di AI e SaaS, e il rapporto si chiude con la loro pubblicità.

FAQ

La fuga di dati di Meta Muse ha riguardato tutte le conversazioni?

No. Secondo il rapporto di Claroc, riguarda solo le conversazioni condivise tramite link. Le sessioni private non erano interessate dal problema descritto.

I link condivisi di Muse funzionano ancora?

Secondo Claroc, i 40 link ricontrollati hanno smesso di funzionare il 20 ottobre, dopo che Meta ha sospeso la condivisione. I titoli delle conversazioni restano però nello storico del DNS passivo.

Che cos’è il DNS passivo?

Sono database che registrano le richieste DNS osservate, cioè i nomi di dominio richiesti dai computer, insieme ai relativi indirizzi IP. Si possono interrogare, quindi qualsiasi nome host visitato da qualcuno può restarci a lungo.