De AI-agent Muse van Meta heeft een ernstig privacylek vertoond waarbij persoonlijke en zakelijke informatie van gebruikers openbaar toegankelijk was. Beveiligingsonderzoekers van het bedrijf Claroc ontdekten dat zij via passieve DNS-zoekopdrachten duizenden deelbare links konden enumereren.
De technische oorzaak, door de onderzoekers 'GhostShares' genoemd, ligt in de beslissing om de titel van een gesprek in het subdomein van de URL te plaatsen (bijv. cf.metaaiusercontent.com). Hierdoor werden de links doorzoekbaar in publieke DNS-databases. Gevonden data varieerden van interne omzetbeoordelingen en leningaanvragen tot vertrouwelijke personeelsgegevens.
Meta heeft de deelfunctie inmiddels tijdelijk stopgezet voor onderzoek. Het incident roept vragen op over de algemene beveiliging van Muse, zeker nadat eerder een zero-day kwetsbaarheid werd ontdekt die volledige accountovername mogelijk maakte.
Meta Muse lekt persoonlijke en zakelijke geheimen van gebruikers bij het delen van gesprekken
Muse, de nieuwe algemene AI-agent van Meta, kan gevoelige informatie blootleggen wanneer gebruikers gesprekken delen via weblinks, zo meldden onderzoekers maandag. Naar aanleiding van vragen van Ars Technica over dit gedrag, liet Meta weten dat het de deelfunctie tijdelijk heeft stopgezet terwijl het bedrijf de functie beoordeelt en nadenkt over wijzigingen.
Net als veel online diensten stelde Muse gebruikers in staat om zoekopdrachten, gesprekken, afbeeldingen en soortgelijke inhoud met anderen te delen. Dergelijke deelfuncties werken meestal door een unieke URL te genereren die iedereen kan gebruiken om de pagina met de inhoud te laden. Om te voorkomen dat potentieel gevoelige informatie toegankelijk is voor onbevoegden, bevatten deze URL's doorgaans een lange reeks tekens die niet eenvoudig te raden is.
Een enkele query is voldoende
Muse, waarvan CEO Mark Zuckerberg vorige maand zei dat het "van de grond af aan is gebouwd voor privacy en beveiliging", lijkt dezelfde voorzorgsmaatregelen te hebben genomen. Een centrale ontwerpbeslissing bij het samenstellen van de URL's heeft de links echter eenvoudig ontdekbaar gemaakt. Als gevolg hiervan stelden onderzoekers van beveiligingsbedrijf Claroc dat zij in staat waren om 6.800 links te enumereren die Muse-gebruikers hadden aangemaakt om gesprekken met anderen te delen.
Na het openen van enkele honderden van deze links, vonden de onderzoekers informatie die duidelijk niet openbaar bedoeld was, waaronder:
- Aantekeningen van een kandidaat ter voorbereiding op een vertrouwelijk gesprek voor een executive-search bij een frontier AI-lab, inclusief de naam van het interne contactpersoon en het tijdstip van de afspraak.
- Een interne omzetbeoordeling van een nationaal marketingbedrijf, bestemd voor de CEO.
- De leningaanvraag van een kleine ondernemer, inclusief het gevraagde bedrag.
- Een to-do-lijst met een bankfraudemelding, inclusief een gedeeltelijk rekeningnummer, een transactiebedrag en het tijdstip.
- Een intern prestatierapport van een vastgoedbelegger, met twee adressen van panden en exacte cijfers over rendement, inkomsten en hypotheken.
- Een volledige jaarlijkse vakantiekalender van een werkplek, waarop tientallen werknemers staan vermeld met de week waarin zij afwezig zouden zijn.
"Als we vooraf waren gevraagd, hadden we gedacht dat het verzamelen hiervan veel moeite zou kosten," schreven de onderzoekers. "Het kostte één query."
In een e-mailverklaring in reactie op vragen van Ars Technica zei Meta:
We hebben het Muse bug bounty-programma geopend zodat onderzoekers verschillende scenario's konden aandragen en ons konden helpen het product te blijven verbeteren. Mensen hebben de mogelijkheid om specifieke Muse-artefacten te delen, wat een pagina creëert die toegankelijk is voor degenen met de link. We hebben deze functionaliteit echter gepauzeerd terwijl we dit rapport beoordelen en nadenken over wijzigingen in de manier waarop deze links kunnen worden ontdekt.
Asaf Aprozper, mede-oprichter en CTO van Claroc, zei dat hij de bevindingen op 8 oktober via het bug bounty-programma van Meta had gemeld en ook probeerde contact op te nemen met mensen bij Meta via LinkedIn, maar dat hij op geen van beide manieren een reactie kreeg.
De technische oorzaak: GhostShares
De eenvoudigste manier om de URL's te ontdekken is door een passieve DNS-zoekopdracht uit te voeren via een van de vele beschikbare commerciële diensten. Passieve DNS-gegevens slaan de historische resolutie van domeinnamen naar IP-adressen op, evenals nameserver- en mailservergegevens over een bepaalde periode. Passieve DNS-systemen verzamelen doorgaans DNS-antwoorden van sensoren die zijn geplaatst bij recursieve DNS-resolvers of andere infrastructuur. Een passief DNS-record wordt over het algemeen aangemaakt wanneer een monitorsysteem een DNS-antwoord waarneemt. In dit specifieke geval wordt, zodra de beoogde ontvanger op de share-link klikt, de DNS-informatie geregistreerd in een doorzoekbare database.
Onderzoekers van Claroc konden de Muse-share-links ontdekken omdat ze allemaal gebruikmaken van de domeinnaam cf.metaaiusercontent.com. De ontdekking wordt verder vergemakkelijkt door de beslissing om de naam van het gesprek aan de URL toe te voegen, samen met een lange reeks tekst. Vereenvoudigde voorbeelden van dergelijke links zijn:
home-sale-budget-9f21c8a3.cf.metaaiusercontent.comq3-revenue-review-7b1e42f0.cf.metaaiusercontent.comloan-application-draft-a4c9e2.cf.metaaiusercontent.com
Het is juist deze ontwerpbeslissing — het plaatsen van de titel van het gesprek in het subdomein in plaats van in het URL-pad — die publieke ontdekking mogelijk maakt.
"Veel AI-assistenten delen via een publieke link," aldus Claroc. "Wat de shares van Muse eenvoudig vindbaar maakt, is dat de titel in het webadres staat, waar publieke DNS-gegevens het voor iedereen doorzoekbaar maken. We noemen dit GhostShares: pagina's die openen voor mensen die de link nooit hebben gekregen, en die deze mensen zelfstandig kunnen vinden."
Vertrouwen en beveiliging
Muse is snel gestegen naar een van de topposities in de App Store van Apple. De assistent vult autonoom formulieren in, boekt afspraken, doet aankopen, maakt documenten aan en voert allerlei andere acties uit. Om zoals bedoeld te werken, vereist Muse toegang tot de meeste accounts van een gebruiker. Meta heeft de assistent zwaar gepromoot als een platform dat waardig is aan het buitengewone vertrouwen dat nodig is om correct te functioneren.
Drie weken na de lancering van Muse ontdekte macOS-beveiligingsexpert Patrick Wardle een zero-day kwetsbaarheid waarmee elke andere app die op hetzelfde apparaat was geïnstalleerd, volledige controle over het Muse-account van de gebruiker kon krijgen. Meta speelde de ernst van de kwetsbaarheid down met het argument dat exploitatie alleen mogelijk was als een apparaat al gecompromitteerd was. Het bedrijf erkende Wardles bevinding niet dat een eenvoudige ClickFix-aanval voldoende was om een account te kapen. De eenvoud waarmee share-links te ontdekken zijn, rechtvaardigt verder de vraag of Muse waardig is van de toegang die het vereist.
Door de schorsing van de functie door Meta lopen Muse-gebruikers momenteel niet langer dit specifieke risico, althans voor nu.
Meta Muse lekt persoonlijke en zakelijke geheimen van gebruikers bij het delen van gesprekken
Muse, de nieuwe algemene AI-agent van Meta, kan gevoelige informatie blootleggen wanneer gebruikers gesprekken delen via weblinks, zo meldden onderzoekers maandag. Naar aanleiding van vragen van Ars Technica over dit gedrag, liet Meta weten dat het de deelfunctie tijdelijk heeft stopgezet terwijl het bedrijf de functie beoordeelt en nadenkt over wijzigingen.
Net als veel online diensten stelde Muse gebruikers in staat om zoekopdrachten, gesprekken, afbeeldingen en soortgelijke inhoud met anderen te delen. Dergelijke deelfuncties werken meestal door een unieke URL te genereren die iedereen kan gebruiken om de pagina met de inhoud te laden. Om te voorkomen dat potentieel gevoelige informatie toegankelijk is voor onbevoegden, bevatten deze URL's doorgaans een lange reeks tekens die niet eenvoudig te raden is.
Een enkele query is voldoende
Muse, waarvan CEO Mark Zuckerberg vorige maand zei dat het "van de grond af aan is gebouwd voor privacy en beveiliging", lijkt dezelfde voorzorgsmaatregelen te hebben genomen. Een centrale ontwerpbeslissing bij het samenstellen van de URL's heeft de links echter eenvoudig ontdekbaar gemaakt. Als gevolg hiervan stelden onderzoekers van beveiligingsbedrijf Claroc dat zij in staat waren om 6.800 links te enumereren die Muse-gebruikers hadden aangemaakt om gesprekken met anderen te delen.
Na het openen van enkele honderden van deze links, vonden de onderzoekers informatie die duidelijk niet openbaar bedoeld was, waaronder:
- Aantekeningen van een kandidaat ter voorbereiding op een vertrouwelijk gesprek voor een executive-search bij een frontier AI-lab, inclusief de naam van het interne contactpersoon en het tijdstip van de afspraak.
- Een interne omzetbeoordeling van een nationaal marketingbedrijf, bestemd voor de CEO.
- De leningaanvraag van een kleine ondernemer, inclusief het gevraagde bedrag.
- Een to-do-lijst met een bankfraudemelding, inclusief een gedeeltelijk rekeningnummer, een transactiebedrag en het tijdstip.
- Een intern prestatierapport van een vastgoedbelegger, met twee adressen van panden en exacte cijfers over rendement, inkomsten en hypotheken.
- Een volledige jaarlijkse vakantiekalender van een werkplek, waarop tientallen werknemers staan vermeld met de week waarin zij afwezig zouden zijn.
"Als we vooraf waren gevraagd, hadden we gedacht dat het verzamelen hiervan veel moeite zou kosten," schreven de onderzoekers. "Het kostte één query."
In een e-mailverklaring in reactie op vragen van Ars Technica zei Meta:
We hebben het Muse bug bounty-programma geopend zodat onderzoekers verschillende scenario's konden aandragen en ons konden helpen het product te blijven verbeteren. Mensen hebben de mogelijkheid om specifieke Muse-artefacten te delen, wat een pagina creëert die toegankelijk is voor degenen met de link. We hebben deze functionaliteit echter gepauzeerd terwijl we dit rapport beoordelen en nadenken over wijzigingen in de manier waarop deze links kunnen worden ontdekt.
Asaf Aprozper, mede-oprichter en CTO van Claroc, zei dat hij de bevindingen op 8 oktober via het bug bounty-programma van Meta had gemeld en ook probeerde contact op te nemen met mensen bij Meta via LinkedIn, maar dat hij op geen van beide manieren een reactie kreeg.
De technische oorzaak: GhostShares
De eenvoudigste manier om de URL's te ontdekken is door een passieve DNS-zoekopdracht uit te voeren via een van de vele beschikbare commerciële diensten. Passieve DNS-gegevens slaan de historische resolutie van domeinnamen naar IP-adressen op, evenals nameserver- en mailservergegevens over een bepaalde periode. Passieve DNS-systemen verzamelen doorgaans DNS-antwoorden van sensoren die zijn geplaatst bij recursieve DNS-resolvers of andere infrastructuur. Een passief DNS-record wordt over het algemeen aangemaakt wanneer een monitorsysteem een DNS-antwoord waarneemt. In dit specifieke geval wordt, zodra de beoogde ontvanger op de share-link klikt, de DNS-informatie geregistreerd in een doorzoekbare database.
Onderzoekers van Claroc konden de Muse-share-links ontdekken omdat ze allemaal gebruikmaken van de domeinnaam cf.metaaiusercontent.com. De ontdekking wordt verder vergemakkelijkt door de beslissing om de naam van het gesprek aan de URL toe te voegen, samen met een lange reeks tekst. Vereenvoudigde voorbeelden van dergelijke links zijn:
home-sale-budget-9f21c8a3.cf.metaaiusercontent.comq3-revenue-review-7b1e42f0.cf.metaaiusercontent.comloan-application-draft-a4c9e2.cf.metaaiusercontent.com
Het is juist deze ontwerpbeslissing — het plaatsen van de titel van het gesprek in het subdomein in plaats van in het URL-pad — die publieke ontdekking mogelijk maakt.
"Veel AI-assistenten delen via een publieke link," aldus Claroc. "Wat de shares van Muse eenvoudig vindbaar maakt, is dat de titel in het webadres staat, waar publieke DNS-gegevens het voor iedereen doorzoekbaar maken. We noemen dit GhostShares: pagina's die openen voor mensen die de link nooit hebben gekregen, en die deze mensen zelfstandig kunnen vinden."
Vertrouwen en beveiliging
Muse is snel gestegen naar een van de topposities in de App Store van Apple. De assistent vult autonoom formulieren in, boekt afspraken, doet aankopen, maakt documenten aan en voert allerlei andere acties uit. Om zoals bedoeld te werken, vereist Muse toegang tot de meeste accounts van een gebruiker. Meta heeft de assistent zwaar gepromoot als een platform dat waardig is aan het buitengewone vertrouwen dat nodig is om correct te functioneren.
Drie weken na de lancering van Muse ontdekte macOS-beveiligingsexpert Patrick Wardle een zero-day kwetsbaarheid waarmee elke andere app die op hetzelfde apparaat was geïnstalleerd, volledige controle over het Muse-account van de gebruiker kon krijgen. Meta speelde de ernst van de kwetsbaarheid down met het argument dat exploitatie alleen mogelijk was als een apparaat al gecompromitteerd was. Het bedrijf erkende Wardles bevinding niet dat een eenvoudige ClickFix-aanval voldoende was om een account te kapen. De eenvoud waarmee share-links te ontdekken zijn, rechtvaardigt verder de vraag of Muse waardig is van de toegang die het vereist.
Door de schorsing van de functie door Meta lopen Muse-gebruikers momenteel niet langer dit specifieke risico, althans voor nu.
Groetjes,