Meta a suspendu la fonction de partage de sa plateforme d'IA agentique Muse après que des chercheurs en sécurité ont découvert que des conversations privées pouvaient être exposées. Muse a été lancée le mois dernier, et les utilisateurs pouvaient partager leurs conversations en générant un lien web.
Des chercheurs de la société de sécurité Claroc ont découvert que ces liens pouvaient être trouvés par une recherche DNS passive. Les enregistrements DNS passifs associent des noms de domaine lisibles par l'humain à des adresses IP, un peu comme un annuaire téléphonique d'Internet. Comme chaque URL de partage Muse utilisait le même domaine et incluait le titre de la conversation dans son sous-domaine, une seule recherche renvoyait des milliers de liens. Claroc a déclaré avoir pu énumérer 6 800 conversations partagées.
Les contenus exposés concernaient à la fois des usages professionnels et personnels. On y trouvait des horaires de réunion avec un laboratoire d'IA de pointe, une demande de prêt pour une petite entreprise, une alerte de fraude bancaire contenant des informations partielles de compte, un calendrier des vacances d'une entreprise et d'autres documents internes. Claroc a qualifié ce résultat de table des matières de données privées.
Meta a indiqué à Ars Technica avoir suspendu cette fonctionnalité pendant qu'elle examine le rapport et envisage des modifications sur la manière dont ces liens peuvent être découverts. Après cette mise à jour, Claroc a déclaré que ses chercheurs ne pouvaient plus ouvrir un échantillon des liens auxquels ils avaient précédemment accédé.
Source: Engadget · Résumé par HeadlinesBriefing