История
22 окт. 2026 г.
Meta возобновила обмен в Muse после опасений из-за конфиденциальности публичных ссылок
Исследователи утверждали, что дизайн функции обмена Muse превратил якобы приватные взаимодействия в доступные для обнаружения публичные страницы, тогда как Meta заявляет, что конкретная уязвимость URL исправлена и что защита пользовательских данных оправдывала нарушение работы существующих общих ссылок.
Ассистент Meta Muse был создан для работы с конфиденциальными задачами — от документов и бронирований до покупок, — однако его функция обмена быстро стала проверкой того, оправдано ли это доверие.
Ранее на этой неделе исследователи из компании по кибербезопасности Claroc заявили, что смогли перечислить 6 800 ссылок для обмена Muse одним запросом после того, как сервис стал включать заголовки разговоров в имена хостов, фиксируемые публичными DNS-системами.1 По их словам, среди результатов были внутренний обзор выручки маркетинговой компании, заявка на кредит, предупреждение о банковском мошенничестве и графики отпусков сотрудников.
Claroc назвала эти страницы «GhostShares»: ссылки, которые могли открыть люди, никогда их не получавшие, поскольку заголовок в адресе делал их доступными для поиска. «Потребовался один запрос», — написали исследователи, поставив под сомнение предположение, что длинные строки в общих URL делают материал фактически приватным.1 Исследователи заявили, что такое поведение, по-видимому, было предусмотрено дизайном, и призвали пользователей ограничивать объём конфиденциальных деталей в чатах и быстро удалять общие ссылки.
Meta первоначально приостановила обмен после сообщения о проблеме. Теперь она восстановила эту функцию: Дэвид Синглтон написал в X, что «первопричина проблемы теперь устранена, и обмен снова включён».2
Версия компании сужает проблему: она утверждает, что уязвимость касалась URL общих артефактов Muse, таких как документы и изображения, а не самого обмена чатами. Однако практическое решение широко затрагивает всех, кто делился контентом до исправления. Этим артефактам были присвоены новые URL; посетителям старых адресов предлагается запросить новую ссылку у первоначального отправителя.2
Meta признала неудобства, заявив, что сожалеет о перебоях, однако «защита пользовательских данных должна быть прежде всего».2 Для Claroc этот эпизод, впрочем, служит напоминанием: обещания ИИ-ассистента о конфиденциальности зависят не только от того, что он хранит, но и от того, насколько легко обнаружить созданный им общий контент.