Meta tạm dừng tính năng chia sẻ Muse sau khi hơn 6.800 liên kết cuộc trò chuyện bị tìm thấy công khai

Tóm tắt nhanh

• Meta đã tạm dừng tính năng chia sẻ cuộc trò chuyện của Muse sau khi các nhà nghiên cứu phát hiện các URL chia sẻ có thể truy cập công khai trên web.
• Công ty bảo mật Claroc tìm thấy hơn 6.800 liên kết Muse thông qua hồ sơ DNS công khai, theo báo cáo của họ và Ars Technica.
• Các liên kết Muse dùng domain cf.metaaiusercontent.com và chứa tiêu đề cuộc trò chuyện trong phần subdomain, khiến chúng dễ dàng được liệt kê.
• Việc đặt tiêu đề cuộc trò chuyện vào subdomain, thay vì đường dẫn URL, là quyết định thiết kế trung tâm giúp việc khám phá công khai trở nên khả thi.
• Claroc mở hàng trăm liên kết và thấy nhiều thông tin rõ ràng không nên công khai, gồm ghi chú tuyển dụng, báo cáo doanh thu nội bộ và đơn vay ngân hàng.
• Ví dụ thông tin rò rỉ gồm tên liên hệ nội bộ, thời gian cuộc họp, số tiền vay yêu cầu, địa chỉ bất động sản và lịch nghỉ phép nhân viên.
• Claroc cho biết cách dễ nhất để phát hiện các URL là tìm kiếm DNS thụ động qua dịch vụ thương mại lưu trữ bản ghi phân giải tên miền lịch sử.
• Asaf Aprozper (đồng sáng lập, CTO Claroc) báo cáo phát hiện qua chương trình bug bounty của Meta ngày 8/10 và cố gắng liên hệ Meta trên LinkedIn nhưng chưa nhận phản hồi.
• Meta nói họ đã mở chương trình bug bounty cho Muse để các nhà nghiên cứu báo các kịch bản khác nhau và đang xem xét thay đổi cách các liên kết này có thể được khám phá.
• Phát ngôn viên Muse Tracy Clayton xác nhận người dùng có thể chia sẻ artifact Muse tạo thành trang truy cập bằng liên kết, nhưng tính năng đã bị tạm dừng trong khi xem xét báo cáo.

Tóm tắt tự động bằng AI từ 2 nguồn, có thể có sai sót. Hãy kiểm chứng ở bài gốc.