Meta, araştırmacılar keşfedilebilir bağlantıları ortaya çıkardıktan sonra Muse paylaşımlı artifact URL'lerini yeniden verdi

Ne oldu

Meta, sohbetlerde belge ve görsel gibi artifact'lerin yer alabildiği chat ürünü Muse'ta paylaşımı yeniden açtı ve düzeltmeden önce paylaşılan her artifact için yeni web adresleri verdi. Bu değişiklik, makul bir şekilde gizli olduklarına inanılan bağlantıların dışarıdan az bir çabayla bulunabileceğini gösteren güvenlik araştırmacılarının bir raporunun ardından geldi.

The Verge'ye göre, Meta'dan David Singleton değişikliği X'te yaptığı bir gönderide duyurarak, altta yatan sorunun çözüldüğünü ve paylaşımın yeniden kullanılabilir olduğunu söyledi.

Bağlantılar nasıl ortaya çıktı

Claroc'taki araştırmacılar bu haftanın başında, Muse'un paylaşılan sohbetlerin web adreslerini her sohbetin başlığından oluşturduğunu ve bu adreslerin herkese açık DNS'e yazıldığını bildirdi. DNS kayıtları herkes tarafından sorgulanabildiği için, ana makine adları, sahibinden orijinal bağlantıyı hiç almadan ortaya çıkarılabiliyordu.

Araştırmacılar bu yolla gerçek paylaşılan sayfalar bulduklarını söyledi; bunların arasında bir pazarlama şirketinin iç gelir incelemesi ve bir küçük işletme sahibinin kredi başvurusu da vardı. The Verge ayrıca Ars Technica'nın, bulgular hakkında kendisiyle iletişime geçilmesinin ardından Meta'nın paylaşım özelliğini tamamen durdurduğunu bildirdiğini not ediyor.

Meta neyi değiştirdi

The Verge'ye göre Singleton, hatayı chat paylaşımının çalışma biçimindeki bir kusur olarak değil, paylaşılan Muse artifact'lerinin URL'lerine özgü bir sorun olarak tanımladı. Bu, paylaşılan sohbet bağlantılarına odaklanan araştırmacıların anlatısına göre biraz daha dar bir tanımlama; ancak her iki tarif de aynı soruna işaret ediyor: gerçek erişim kontrolünün işini tahmin edilebilir ve herkese görünür adreslerin yapması.

Çözüm, topyekûn bir yeniden verme işlemi. Düzeltmeden önce paylaşılan her artifact artık farklı bir URL'de duruyor ve eski bir bağlantıyı açan kişi, güncel adresi paylaşan kişiden alması gerektiğini söyleyen bir mesajla karşılaşıyor. Singleton bunun zahmetli olduğunu kabul ederek kesinti için özür diledi ve kullanıcı verilerini korumanın öncelikli olması gerektiğini söyledi.

Neden önemli

Bu olay, "bağlantıya sahip olan herkes" ifadesinin bir gizlilik modeli olmadığının bir hatırlatıcısı. Bir hizmet URL'leri insan tarafından okunabilir başlıklardan türetiyorsa ve bu ana makine adlarının herkese açık DNS'e girmesine izin veriyorsa, bağlantılar artık belirsiz olmaktan çıkıp bakmaya heveslenen herkes tarafından bulunabilir hale geliyor.

Paylaşılan yapay zeka sohbetleri bu açıdan özellikle hassas. Claroc bulgularının gösterdiği gibi, bunlar sıradan sohbetler değil, işletme finansalları ve kişisel kredi evrakları içerebiliyor; dolayısıyla zayıf bir bağlantı düzeni, kullanışlı bir özelliği veri ifşasına dönüştürüyor.

Muse kullanıcıları için pratik sonuç net: düzeltmeden önce oluşturulan artifact bağlantıları ölü ve hâlâ insanların görmesini istediğiniz her şeyin yeni adresiyle yeniden paylaşılması gerekiyor. Diğer herkes içinse makul varsayım şu: açık erişim kontrolleri olmayan bir paylaşılan bağlantı er ya da geç bulunabilir — ve paylaş düğmesine basmadan önce duyarlılık buna göre değerlendirilmeli.