Onderzoekers van beveiligingsbedrijf Claroc vonden duizenden gedeelde links van Meta’s AI-agent Muse terug via openbare DNS-gegevens. Meta zette de deelfunctie tijdelijk uit en heeft hem na een aanpassing weer ingeschakeld.
De titel stond in het webadres
Muse-gebruikers kunnen gesprekken en documenten delen via een unieke link. Die links gebruikten allemaal het domein cf.metaaiusercontent.com, met de titel van het gesprek in het subdomein. Zodra iemand zo’n link opende, kwam dat adres in passieve DNS-databases terecht, die voor iedereen doorzoekbaar zijn.
Claroc zegt op die manier 6.800 gedeelde Muse-links te hebben gevonden. In de paar honderd die de onderzoekers openden, stond informatie die duidelijk niet openbaar bedoeld was. Het ging onder meer om een kredietaanvraag van een ondernemer, een interne omzetanalyse van een marketingbedrijf en een vakantieplanning van een heel team. Volgens de onderzoekers was er maar één zoekopdracht voor nodig.
Meta pauzeerde en herstelde de functie
Claroc meldde het probleem op 8 oktober via het bugbountyprogramma van Meta. Pas nadat Ars Technica vragen stelde, zette Meta de deelfunctie stil om de melding te onderzoeken. Op 22 oktober liet Meta-topman David Singleton weten dat het onderliggende probleem is opgelost en dat delen weer werkt.
Volgens Singleton zat het probleem in de links naar gedeelde ‘artifacts’, zoals documenten en afbeeldingen binnen Muse, en niet in het delen van chats. Eerder gedeelde artifacts hebben een nieuwe link gekregen. Wie een oude link opent, ziet een melding om de nieuwe link bij de afzender op te vragen.
Veel toegang, hoge verwachtingen
Muse vult zelfstandig formulieren in, maakt afspraken, doet aankopen en maakt documenten. Daarvoor heeft de agent toegang nodig tot de meeste accounts van een gebruiker. Ars Technica wijst erop dat dit niet het eerste beveiligingsprobleem is: kort na de lancering vond beveiligingsonderzoeker Patrick Wardle een kwetsbaarheid waarmee andere apps op hetzelfde apparaat een Muse-account konden overnemen.