Muse, agen AI serbaguna baru dari Meta, dapat mengungkap informasi sensitif ketika pengguna membagikan percakapan melalui tautan web, demikian laporan para peneliti pada hari Senin. Seperti banyak layanan daring lainnya, Muse memungkinkan pengguna membagikan pencarian, percakapan, gambar, dan konten serupa melalui URL unik. URL semacam itu biasanya berisi rangkaian teks yang panjang dan sulit ditebak untuk menjauhkan informasi sensitif dari pihak yang tidak dimaksudkan. CEO Meta Mark Zuckerberg mengatakan bulan lalu bahwa Muse "dibangun dari awal untuk privasi dan keamanan," dan tampaknya langkah pencegahan yang sama juga diterapkan. Namun, sebuah keputusan desain dalam cara tautan dibangun membuatnya mudah ditemukan.
Peneliti dari perusahaan keamanan Claroc mengatakan mereka mengumpulkan 6.800 tautan yang dibuat pengguna Muse untuk membagikan percakapan. Setelah membuka beberapa ratus tautan, mereka menemukan materi yang jelas tidak dimaksudkan untuk publik, termasuk catatan seorang kandidat untuk panggilan rahasia pencarian eksekutif dengan laboratorium AI terdepan, tinjauan pendapatan internal sebuah perusahaan pemasaran nasional, permohonan pinjaman seorang pemilik usaha kecil, dan daftar tugas yang berisi peringatan penipuan bank beserta sebagian nomor rekening. Berkas lain yang terbuka mencakup laporan kinerja seorang investor properti dengan alamat properti serta angka pengembalian dan hipotek yang tepat, dan kalender cuti staf sepanjang tahun di sebuah tempat kerja.
"Jika Anda bertanya kepada kami sebelumnya, kami akan memperkirakan bahwa mengumpulkan semua ini membutuhkan usaha yang nyata," tulis para peneliti. "Ternyata hanya butuh satu kueri."
Tautan tersebut mudah ditemukan melalui layanan pencarian DNS pasif, yang mencatat resolusi domain historis setelah tautan berbagi diklik. Semua tautan berbagi Muse menggunakan domain cf.metaaiusercontent.com, sehingga mudah dikenali. Penambahan nama percakapan pada setiap URL, misalnya loan-application-draft-a4c9e2.cf.metaaiusercontent.com, semakin memperlihatkan isi setiap tautan dan memungkinkan penemuan secara publik.
Sumber: Ars Technica · Diringkas oleh HeadlinesBriefing