對話標題被寫進分享網址的子網域
Muse 把每段分享對話的標題直接寫進網址的子網域，再加一串短隨機字元，掛在 cf.metaaiusercontent.com 之下。據 Unite.AI 引述安全公司 Claroc 的研究，這令「貸款申請草稿」一類標題變成一個可讀的主機名稱。
問題在於 DNS（把網址翻譯成伺服器位置的系統）。每當有人打開分享連結，查詢便會經過 DNS 伺服器，而商用的被動 DNS 服務會長期收集這些查詢，供人檢索。網址內的標題於是被收進一個任何付費用戶都可以搜尋的資料庫，無需猜測連結。
Claroc 一次搜尋找到逾 6,800 條連結
據 Engadget 報道，Claroc 只在一個商用被動 DNS 服務搜尋 Muse 的內容網域，剔除掃描雜訊後，找到逾 6,800 個按標題列出的分享主機名稱。Claroc 只打開了其中數百條，其餘內容未知。
抽查到的分享對話 | 涉及資料 |
|---|---|
小型企業貸款申請 | 業務及財務資料 |
銀行詐騙警示 | 部分帳戶資料 |
公司員工假期表 | 內部人事安排 |
收入檢討 | 公司內部營運數字 |
Muse 是 Meta 9 月 8 日推出的 AI 個人代理，可以代用戶處理電郵、購物等事務。分享功能原意是讓用戶把一段對話傳給別人，但不少人分享的正是工作和財務文件。
Meta 已暫停分享功能
據 Unite.AI 報道，Meta 發言人 Tracy Clayton 表示，分享功能已下線，公司正審視報告，並考慮如何改變連結可被發現的方式。Claroc 於 10 月上旬經 Meta 的漏洞獎勵計劃通報問題；10 月 20 日它重新測試月初可免登入打開的 40 條分享，全部已無法打開。
已外洩的標題仍然留在紀錄中
暫停只阻止新連結出現，已被收錄的主機名稱連同對話標題仍留在被動 DNS 的歷史紀錄中。Claroc 表示，暫未發現有人濫用這些分享。曾經分享 Muse 對話的用戶，應假設對話標題已可被第三方搜尋到，標題內若有公司名稱或財務細節，要當作已公開處理。
暫時未有留言
提交留言即表示你已閱讀我們的私隱政策。