پژوهشگران امنیت سایبری از شناسایی یک نقص امنیتی در دستیار هوش مصنوعی Muse متعلق به شرکت متا خبر داده‌اند که می‌تواند اطلاعات شخصی، مالی و تجاری کاربران را در معرض دسترسی افراد غیرمجاز قرار دهد. این آسیب‌پذیری به نحوه ایجاد لینک‌های اشتراک‌گذاری مکالمات مربوط می‌شود و باعث شده هزاران گفت‌وگوی کاربران به‌سادگی قابل شناسایی باشند.
براساس گزارش Ars Technica و یافته‌های شرکت امنیتی Claroc، پژوهشگران توانسته‌اند حدود ۶۸۰۰ لینک اشتراک‌گذاری مربوط به Muse را شناسایی کنند. بررسی بخشی از این لینک‌ها نشان داده است که برخی مکالمات حاوی اطلاعات حساس و محرمانه بوده‌اند.
نقص امنیتی Muse چگونه اطلاعات کاربران را افشا می‌کند؟
دستیار هوش مصنوعی Muse مانند بسیاری از چت‌بات‌ها به کاربران اجازه می‌دهد مکالمات و نتایج فعالیت‌های خود را از طریق لینک اختصاصی با دیگران به اشتراک بگذارند.
در حالت معمول، این لینک‌ها باید به‌اندازه‌ای پیچیده و غیرقابل پیش‌بینی باشند که افراد ناشناس نتوانند به‌راحتی آن‌ها را پیدا کنند. بااین‌حال، پژوهشگران Claroc متوجه شده‌اند که ساختار لینک‌های اشتراک‌گذاری Muse امکان شناسایی گسترده آن‌ها را فراهم می‌کند.
این مشکل باعث شده محتوایی که کاربران قصد داشته‌اند فقط با افراد مشخصی به اشتراک بگذارند، در معرض دسترسی دیگران نیز قرار بگیرد.
شناسایی ۶۸۰۰ لینک و اطلاعات محرمانه کاربران
پژوهشگران امنیتی با بررسی سازوکار اشتراک‌گذاری Muse موفق به شناسایی حدود ۶۸۰۰ لینک شدند. آن‌ها پس از بررسی چندصد مورد از این لینک‌ها، اطلاعاتی را مشاهده کردند که ظاهراً برای انتشار عمومی در نظر گرفته نشده بودند.
ازجمله اطلاعات کشف‌شده می‌توان به اسناد داخلی شرکت‌ها، گزارش‌های مالی، جزئیات درخواست وام، اطلاعات مربوط به تراکنش‌های بانکی و برنامه مرخصی کارکنان اشاره کرد.
در یکی از موارد، یادداشت‌های محرمانه مربوط به یک جلسه استخدامی در حوزه هوش مصنوعی در دسترس قرار گرفته بود. در نمونه‌ای دیگر، گزارش عملکرد مالی یک سرمایه‌گذار حوزه املاک شامل آدرس دارایی‌ها و جزئیات درآمد و وام‌های مرتبط قابل مشاهده بود.
این یافته‌ها نشان می‌دهند که آسیب‌پذیری Muse صرفاً به افشای مکالمات معمولی محدود نمی‌شود و می‌تواند اطلاعات حساس کسب‌وکارها را نیز در معرض خطر قرار دهد.
تناقض با وعده‌های امنیتی متا
افشای این آسیب‌پذیری در شرایطی رخ داده که متا هنگام معرفی Muse تأکید ویژه‌ای بر امنیت و حفاظت از حریم خصوصی کاربران داشته است.
مارک زاکربرگ پیش‌تر اعلام کرده بود که این دستیار هوش مصنوعی از ابتدا با تمرکز بر حریم خصوصی و امنیت طراحی شده است. متا همچنین در توضیحات فنی خود به سازوکارهای حفاظتی مختلف برای فعالیت ایجنت‌های هوش مصنوعی اشاره کرده بود.
بااین‌حال، یافته‌های جدید نشان می‌دهند که حتی وجود زیرساخت‌های امنیتی پیشرفته نیز نمی‌تواند ضعف در طراحی قابلیت‌های ساده‌ای مانند اشتراک‌گذاری لینک را جبران کند.
آیا تمام مکالمات کاربران Muse در خطر هستند؟
براساس اطلاعات منتشرشده، آسیب‌پذیری شناسایی‌شده به لینک‌های اشتراک‌گذاری مربوط است و شواهد موجود نشان نمی‌دهند که تمام مکالمات خصوصی کاربران Muse بدون اشتراک‌گذاری قابل مشاهده باشند.
همچنین شناسایی ۶۸۰۰ لینک به معنای افشای اطلاعات حساس در تمام این مکالمات نیست؛ پژوهشگران تنها در بخشی از لینک‌های بررسی‌شده به محتوای محرمانه برخورد کرده‌اند.
این اتفاق بار دیگر اهمیت مدیریت دسترسی‌ها و حفاظت از اطلاعات شخصی در دستیارهای هوش مصنوعی را نشان می‌دهد؛ به‌ویژه ابزارهایی که می‌توانند به ایمیل‌ها، تقویم‌ها، اسناد کاری و اطلاعات مالی کاربران دسترسی داشته باشند.
دیدگاه‌ها