Meta Muse để lộ thông tin cá nhân và doanh nghiệp qua liên kết chia sẻ
"Meta's Muse AI agent exposes sensitive user data through publicly discoverable shareable links. Researchers found that links, created via a design choice including conversation titles in the URL, are easily enumerated using passive DNS techniques, revealing confidential information like financial data and internal company documents. Meta has been notified but has not yet issued a fix."
Lỗ hổng bảo mật này có thể dẫn đến việc lộ thông tin nhạy cảm, gây ảnh hưởng nghiêm trọng đến quyền riêng tư và an ninh dữ liệu của người dùng. Việc khai thác passive DNS để tìm kiếm liên kết chia sẻ là một rủi ro đáng kể.
Các doanh nghiệp có thể bị tổn thất về tài chính và uy tín nếu thông tin nội bộ hoặc dữ liệu khách hàng bị lộ. Việc sử dụng các công cụ AI như Muse cần được đánh giá kỹ lưỡng về rủi ro bảo mật trước khi triển khai.
Meta vừa cho phép AI Muse tạo liên kết chia sẻ cuộc hội thoại, nhưng các liên kết này lại vô tình tiết lộ dữ liệu nhạy cảm. Các nhà nghiên cứu phát hiện ra rằng việc đặt tên cuộc trò chuyện vào URL tạo ra lỗ hổng, cho phép thu thập thông tin qua kỹ thuật passive DNS (ghi lại lịch sử phân giải tên miền). Thông tin bị lộ bao gồm dữ liệu tài chính, tài liệu nội bộ công ty.
Muse, dù được Mark Zuckerberg quảng cáo là “xây dựng từ nền tảng bảo mật”, lại tạo liên kết chia sẻ chứa tên cuộc hội thoại trong URL. Điều này khiến các liên kết này dễ dàng bị tìm thấy. Claroc, một công ty bảo mật, đã thu thập được 6.800 liên kết Muse và phát hiện thông tin nhạy cảm như:
- Ghi chú ứng viên chuẩn bị cho cuộc gọi phỏng vấn bí mật với một phòng thí nghiệm AI, bao gồm thông tin liên hệ và thời gian.
- Bản đánh giá doanh thu nội bộ của một công ty marketing quốc gia.
- Đơn xin vay của một chủ doanh nghiệp nhỏ, bao gồm số tiền vay.
- Danh sách việc cần làm có cảnh báo gian lận ngân hàng, bao gồm một phần số tài khoản và số tiền giao dịch.
- Báo cáo hiệu suất nội bộ của nhà đầu tư bất động sản, bao gồm địa chỉ tài sản, lợi nhuận và số tiền thế chấp.
- Lịch nghỉ phép hàng năm của nhân viên một công ty.
Claroc cho biết việc tìm kiếm các liên kết này chỉ cần một truy vấn DNS duy nhất. Họ gọi những liên kết này là GhostShares – những trang web mở ra cho người không được chia sẻ liên kết. Muse hiện là một trong những ứng dụng hàng đầu trên App Store của Apple và yêu cầu quyền truy cập vào hầu hết các tài khoản người dùng. Một zero-day vulnerability (lỗ hổng bảo mật chưa được biết đến) cũng đã được phát hiện trước đó, cho phép ứng dụng khác kiểm soát tài khoản Muse.
Meta chưa đưa ra phản hồi chính thức. Claroc đã liên hệ Meta nhưng không nhận được phản hồi. Người dùng Muse nên cẩn thận khi chia sẻ liên kết và hạn chế thông tin cá nhân trong cuộc trò chuyện, đồng thời xóa liên kết ngay khi không cần thiết.
Câu hỏi thường gặp
Muse là gì?
Muse là một AI agent mới của Meta, có thể tự động thực hiện các tác vụ như điền biểu mẫu, đặt lịch hẹn, mua hàng và tạo tài liệu.
Lỗ hổng bảo mật này hoạt động như thế nào?
Lỗ hổng xảy ra do Muse tạo liên kết chia sẻ chứa tên cuộc hội thoại trong URL. Điều này cho phép các liên kết này được tìm thấy thông qua kỹ thuật passive DNS.
Thông tin gì có thể bị lộ?
Thông tin bị lộ có thể bao gồm dữ liệu tài chính, tài liệu nội bộ công ty, thông tin cá nhân và lịch làm việc của nhân viên.
Người dùng có thể làm gì để bảo vệ mình?
Người dùng nên cẩn thận khi chia sẻ liên kết, hạn chế thông tin cá nhân trong cuộc trò chuyện và xóa liên kết ngay khi không cần thiết.
Góc nhìn cộng đồng
Tổng hợp từ thảo luận công khai. Chỉ những ý có link nguồn. Không thêm ý kiến khi không tìm thấy.
- Hacker Newsryandrake
Một người dùng trên Hacker News bày tỏ sự hoài nghi về việc Meta có thể cẩu thả với dữ liệu người dùng và quyền riêng tư.
Xem thảo luận ➔ - Hacker NewsRazengan
Một người dùng khác cho rằng người dùng Facebook nên biết rõ những rủi ro khi sử dụng sản phẩm của Meta.
Xem thảo luận ➔ - Hacker Newsomoikane
Một người dùng chỉ ra rằng việc đặt thông tin không nên đoán được vào tên miền phụ có thể bị khai thác thông qua passive DNS.
Xem thảo luận ➔ - Hacker Newsviccis
Một người dùng khác cho rằng Muse có nhiều vấn đề về bảo mật, đặc biệt là việc Meta không đáng tin cậy sau nhiều năm vi phạm quyền riêng tư của người dùng.
Xem thảo luận ➔
Góc nhìn của Orange Cloud
Theo chúng tôi, việc Meta Muse để lộ dữ liệu nhạy cảm qua liên kết chia sẻ là một vấn đề nghiêm trọng, đặc biệt với các doanh nghiệp Việt Nam sử dụng AI để xử lý thông tin tài chính hoặc nội bộ. Các doanh nghiệp nên cân nhắc kỹ lưỡng trước khi tích hợp Muse vào quy trình làm việc. Điều đáng chú ý là việc này cho thấy tầm quan trọng của việc kiểm tra kỹ lưỡng các tính năng bảo mật của các công cụ AI trước khi sử dụng.