Meta suspend le partage Muse après l’exposition de discussions IA via des enregistrements DNS publics
en clair
Meta a arrêté une fonction de son assistant IA Muse qui permettait de partager des discussions par lien web. Une entreprise de sécurité a découvert que beaucoup de ces liens pouvaient être trouvés en cherchant dans le DNS, le système qui fonctionne comme un annuaire pour les sites web. Meta indique qu’elle examine le problème avant de décider comment modifier ces liens.
Résumé complet
Meta affirme avoir suspendu une fonctionnalité de son assistant IA Muse qui permet aux utilisateurs de partager une conversation avec une autre personne au moyen d’un lien. Cette suspension fait suite à des signalements selon lesquels les adresses web de ces pages partagées pouvaient être découvertes publiquement. The Verge rapporte que le problème avait d’abord été soulevé dans un article d’Ars Technica.
Dans un rapport publié cette semaine, des chercheurs de la société de sécurité Claroc affirment avoir trouvé plus de 6 800 liens Muse via des enregistrement DNS Entrée d'une zone DNS composée d'un nom, d'un type, d'un TTL et de données. Définition complète du terme enregistrement DNS publics. DNS système de noms de domaine L'annuaire d'Internet qui relie les noms de domaine aux adresses des ordinateurs. Définition complète du terme DNS, abréviation de Domain Name System, fonctionne comme un annuaire qui relie les adresses web aux serveurs qui les hébergent. En consultant ces enregistrements, Claroc affirme avoir pu consulter des centaines de conversations Muse.
Selon Claroc, la manière dont Meta a construit les liens les rendait faciles à trouver. La société explique que chaque adresse est composée du titre du partage, une courte phrase décrivant la conversation, suivi d’un identifiant aléatoire. Le nom d’hôte reflétant souvent le titre, Claroc affirme qu’un nom d’hôte tiré du DNS pouvait servir à reconstituer le lien complet.
Les conversations exposées comprenaient, selon les informations rapportées, l’examen des revenus d’une société de marketing, la demande de prêt d’un petit commerçant, le calendrier complet des salariés d’une entreprise sur l’année, et des notes pour l’entretien téléphonique d’un candidat à un poste auprès d’un laboratoire d’IA. Les chercheurs de Claroc n’ont pas nommé ces organisations dans leur source.
Tracy Clayton, porte-parole de Meta, a déclaré dans un communiqué envoyé par courriel que les utilisateurs peuvent partager des éléments Muse précis, ce qui crée une page accessible à toute personne disposant du lien. Mme Clayton a indiqué que l’entreprise a suspendu cette fonctionnalité le temps d’examiner le rapport et d’envisager des modifications sur la manière dont les liens peuvent être découverts.
La source rappelle que les fonctions de partage de l’IA ont déjà rendu des échanges plus publics que prévu. Elle indique que des conversations avec ChatGPT d’OpenAI, Claude d’Anthropic et Grok de xAI sont apparues dans les résultats de Google Search.