Meta suspende compartilhamento de IA Muse após falha de privacidade

A Meta suspendeu temporariamente a funcionalidade de compartilhamento de conversas do seu agente de inteligência artificial (IA), o Muse, após pesquisadores da empresa de segurança cibernética Claroc descobrirem uma falha grave de privacidade. O problema permitia que qualquer pessoa acessasse bate-papos que deveriam ser privados, simplesmente encontrando os links de compartilhamento gerados pelo sistema.

A falha, reportada no último domingo (18), permitia o acesso a cerca de 6.800 links de compartilhamento de conversas criados por usuários do Muse, o assistente pessoal recém-lançado pela big tech. Esses links, que continham um identificador aleatório e o título do chat, deveriam ser de difícil descoberta. No entanto, os pesquisadores da Claroc conseguiram acessá-los sem a necessidade de violar contas, utilizando consultas a registros de DNS passivo. Esses registros armazenam o histórico de resolução de nomes de domínio, e o domínio utilizado pelo Muse, “cf.metaaiusercontent.com”, juntamente com o título do chat, tornava os links rastreáveis.

Exposição de dados sensíveis

As conversas acessíveis continham informações confidenciais, como anotações para reuniões de laboratório de IA, relatórios internos de desempenho de investidores, calendários anuais de férias com nomes de funcionários, parte do número de uma conta bancária e valores de transações em alertas de fraude. A Claroc destacou que o problema residia no fato de o título do bate-papo estar contido no endereço web, o que permitia sua indexação e pesquisa pública.

Os pesquisadores afirmam ter alertado a Meta sobre a vulnerabilidade em 8 de outubro, tanto através do programa de recompensa de bugs da empresa quanto por mensagens diretas a funcionários no LinkedIn. Contudo, não obtiveram resposta inicial.

Suspensão e próximos passos

Diante da gravidade da situação, a Meta optou por retirar do ar a ferramenta de compartilhamento de conversas do Muse. A empresa declarou que está analisando “alterações na forma como esses links podem ser encontrados” e que a funcionalidade permanecerá suspensa até que uma solução seja implementada.

O Meta Muse, capaz de realizar tarefas em nome do usuário, foi lançado em setembro e rapidamente se tornou um dos aplicativos mais baixados nos Estados Unidos para iPhone, indicando sua popularidade e o potencial de uso em diversas atividades.