Одного запроса достаточно

Muse — проект Meta, о котором Марк Цукерберг говорил в прошлом месяце, что он «построен с нуля с учётом приватности и безопасности» — использует механизм обмена, похожий на другие сервисы. Однако центральное решение при конструировании URL сделало ссылки легко обнаруживаемыми. Исследователи из компании Claroc сообщили, что смогли перечислить 6800 ссылок, созданных пользователями Muse для обмена разговорами. Открыв несколько сотен из них, обнаружили информацию, явно не предназначенную для публичного доступа:

  • заметки кандидата для подготовки к конфиденциальному звонку с компанией, занимающейся фронтиром AI, с указанием внутреннего контакта лаборатории и времени встречи;
  • внутренний обзор доходов национальной маркетинговой компании, предназначенный для её генерального директора;
  • заявку на кредит владельца малого бизнеса с указанием запрашиваемой суммы;
  • список дел, включающий оповещение о банковском мошенничестве, с частичным номером счёта и размером транзакции;
  • внутренний отчёт о производительности инвестора в недвижимость с адресами двух объектов и точными цифрами доходности, дохода и ипотеки;
  • полный годовой календарь отпусков компании со списком дюжин сотрудников и указанием недели, когда каждый будет отсутствовать.

«Если бы нас спросили предварительно, мы бы предположили, что сбор этого потребует серьёзных усилий. Потребовался всего один запрос»
, — написали исследователи.

Отвечая на вопросы, Meta заявила:

Мы запустили программу награждения за обнаружение уязвимостей Muse, чтобы исследователи могли поднимать различные сценарии и помогать нам улучшать продукт. У пользователей есть возможность делиться определёнными артефактами Muse, что создаёт страницу, доступную тем, кто имеет ссылку. Однако мы приостановили эту функцию, чтобы рассмотреть этот отчёт и обсудить изменения в том, как можно обнаруживать эти ссылки.

Асаф Апрозпер, сооснователь и CTO Claroc, рассказал, что подал результаты через программу награждения Meta 8 октября и попытался связаться с сотрудниками Meta через LinkedIn, но не получил ответа.

Самый простой способ обнаружить URL — выполнить пассивный DNS-поиск через один из многих доступных коммерческих сервисов. Записи пассивной DNS хранят историю разрешения доменных имён в IP-адреса, а также записи nameserver и mail-server с течением времени. Системы пассивной DNS обычно собирают DNS-ответы от датчиков, расположенных у рекурсивных DNS-резолверов или другой инфраструктуры. Запись пассивной DNS обычно создаётся, когда система мониторинга фиксирует DNS-ответ. В данном случае, как только предполагаемый адресат переходит по ссылке обмена, информация DNS записывается в доступную для поиска базу данных.

Исследователи Claroc смогли обнаружить ссылки Muse, потому что все они используют доменное имя cf.metaaiusercontent.com. Обнаружение дополнительно облегчается решением добавить имя разговора в URL вместе с длинной строкой текста. Упрощённые примеры таких ссылок: home-sale-budget-9f21c8a3.cf.metaaiusercontent.com, q3-revenue-review-7b1e42f0.cf.metaaiusercontent.com и loan-application-draft-a4c9e2.cf.metaaiusercontent.com. Это последнее решение — размещение названия разговора в поддомене вместо пути URL — делает возможным открытое обнаружение.

«Множество AI-ассистентов предоставляют обмен по публичным ссылкам»
, — отметили в Claroc.
«Что делает обмен Muse легко находимым — это название, находящееся внутри веб-адреса, где общедоступные DNS-записи его документируют для каждого, кто его ищет. Мы называем это GhostShares: страницы, которые открываются для людей, которым никогда не давали ссылку и которые могут найти её сами».

Muse быстро завоевал одно из топовых мест в App Store компании Apple. Ассистент автономно заполняет формы, бронирует встречи, совершает покупки, создаёт документы и выполняет множество других действий. Для корректной работы Muse требует доступ к большинству учётных записей пользователя. Meta активно позиционирует ассистента как платформу, достойную той экстраординарной доверительности, которая ей требуется.

Через три недели после запуска Muse эксперт по безопасности macOS Патрик Вардль обнаружил уязвимость, позволявшую любому другому приложению на устройстве получить полный контроль над учётной записью Muse пользователя. Meta преуменьшила серьёзность уязвимости на том основании, что её эксплуатация невозможна без предварительной компрометации устройства. Компания не признала вывод Вардля о том, что для перехвата аккаунта достаточно простой ClickFix-атаки. Простота в обнаружении ссылок обмена дополнительно подкрепляет вопрос о том, достойна ли Muse требуемого ей доступа.

С приостановкой функции Meta пользователи Muse больше не сталкиваются с этой конкретной угрозой, по крайней мере пока.