Meta призупинила обмін чатами в Muse AI через витік даних

Автор ·

Компанія Meta тимчасово зупинила функцію обміну чатами в Muse AI через виявлені витоки чутливих даних. Це сталося після розслідування, яке показало, що публічні посилання на розмови відкривали доступ до конфіденційної інформації.

Що сталося

20 жовтня 2026 року Meta заблокувала функцію обміну чатами після запитів від видання Ars Technica, яке посилалося на дослідження групи Claroc. Виявилося, що користувачі могли створювати публічні посилання, які ставали доступними для всіх, хто мав URL. Дослідники з’ясували, що сторонні особи могли знаходити ці посилання через пасивні записи DNS, навіть якщо користувачі їх не надсилали.

Механізм витоку

Muse AI генерував адреси для обміну у форматі cf.metaaiusercontent.com, додаючи до них назву теми розмови та випадковий ідентифікатор. Сервіси пасивного DNS фіксували запити до цих адрес, що призводило до потрапляння текстів розмов у комерційні бази даних. У Claroc ці сторінки назвали GhostShares.

Яка інформація була під загрозою

Більшість переглянутих сторінок містила побутові запити, але також були виявлені конфіденційні документи:

  • бюджет купівлі житла та заявка на кредит для малого бізнесу;
  • внутрішній фінансовий звіт для генерального директора;
  • сповіщення про банківське шахрайство з частковими реквізитами;
  • графік відпусток співробітників;
  • деталі підготовки до конфіденційного дзвінка щодо пошуку топменеджера.

Ці дані могли бути використані для фішингу або фінансового шахрайства, але наразі немає доказів їхнього зловмисного використання.

Реакція Meta

Дослідники повідомили Meta про проблему 8 жовтня через програму винагород за вразливості. Після призупинення функції 20 жовтня, експерти Claroc перевірили 40 раніше доступних посилань — жодне з них більше не працювало. Проте історичні DNS-записи все ще зберігають інформацію про витік.

Джерело: dev.ua (https://dev.ua/news/meta-vymknula-mozhlyvist-dilytysia-chatamy-v-muse-ai-1792570201)