연구원들은 AI 에이전트와 공유된 6,800개의 대화에 액세스했습니다.
Meta는 지난 달 Muse 에이전트 AI 플랫폼을 선보였으며 버그 사냥꾼은 이미 개인 정보 보호 문제를 발견했습니다. 사용자는 URL을 생성하여 Muse 대화를 공유했지만, 연구원이 누구든지 잠재적으로 해당 링크에 액세스할 수 있다는 사실을 발견한 후 해당 기능은 비활성화되었습니다.
보안 회사 Claroc의 연구원들은 모든 공유 URL이 동일한 도메인 이름을 갖고 하위 도메인에서 대화 제목을 사용했기 때문에 수동 DNS 검색을 통해 사용자의 공유 Muse 채팅 링크를 찾고 액세스할 수 있다는 사실을 발견했습니다. 패시브 DNS는 사람이 읽을 수 있는 도메인이 브라우저가 읽을 수 있는 IP 주소로 어떻게 확인되는지에 대한 기록으로, 기본적으로 인터넷의 전화번호부처럼 작동합니다.
Claroc은 블로그 게시물에서 “Muse는 대화 제목을 따라 각 공유의 웹 주소를 지정하고 해당 주소는 공개 DNS에 기록됩니다.”라고 설명했습니다. “한 번의 수동 DNS 검색으로 수천 개의 항목이 목차처럼 이름별로 나열됩니다.”
회사는 공유 Muse 채팅에 대한 6,800개의 링크를 열거하고 서비스의 비즈니스 및 개인 애플리케이션 모두에서 개인 정보를 볼 수 있었습니다. 노출된 개인 정보에는 프론티어 AI 연구소와의 회의 시간, 중소기업 대출 신청, 일부 계좌 정보가 포함된 은행 사기 경고, 회사 휴가 일정 및 기타 회사 내부 문서가 포함되었습니다.
아르스 테크니카 Claroc의 노력에 대해 처음 보고했습니다. 출판물에 대한 성명에서 메타는 “우리는 이 보고서를 검토하고 이러한 링크를 발견할 수 있는 방법에 대한 변경을 고려하는 동안 이 기능을 일시 중지했습니다”라고 말했습니다. Claroc은 또한 연구원들이 Meta의 업데이트 이후 이전에 액세스했던 링크의 샘플링을 열 수 없었다고 지적했습니다.
이 주제에 대해 더 알고 싶다면 아래를 참고하세요
