Meta suspend le partage des conversations de son assistant IA Muse
Un chercheur en sécurité a retrouvé plus de 6 800 liens de conversations Muse via des enregistrements de domaines ; Meta a suspendu la fonctionnalité.
Meta a suspendu temporairement la fonctionnalité de partage de conversations de Muse, son assistant IA, après qu'une société de sécurité a constaté que les liens de conversations partagées pouvaient être retrouvés à partir d'enregistrements de recherche de domaines. L'affaire a été rapportée par The Verge.
Claroc indique avoir retrouvé plus de 6 800 URL de conversations Muse partagées en analysant ces enregistrements. Les liens étaient construits à partir d'une courte phrase décrivant la conversation et d'un identifiant aléatoire, et pouvaient être ouverts sans connexion.
Les chercheurs de Claroc ont ouvert des centaines de conversations partagées, dont des documents de revue des revenus d'entreprise, une demande de prêt pour une petite entreprise, des plannings de congés annuels de salariés et les notes d'un candidat à un poste sur un entretien privé avec un laboratoire d'IA.
Tracy Clayton, porte-parole de Meta Muse, a déclaré que la fonctionnalité avait été suspendue le temps d'examiner le rapport et de discuter des moyens d'améliorer la façon dont les liens peuvent être trouvés. Claroc dit avoir signalé le problème à Meta le 8 et précise que 40 pages partagées revérifiées le 20 ne s'ouvraient plus.
Aucune preuve n'a été confirmée à ce stade d'une exploitation des liens par des attaquants extérieurs.
Un problème déjà rencontré ailleurs
Des conversations partagées sur ChatGPT, Claude et Grok ont déjà été exposées par le passé via des moteurs de recherche.
En bref
Pourquoi Meta a-t-il suspendu le partage de conversations sur Muse ?
Parce que Claroc a montré que les liens de conversations partagées pouvaient être retrouvés via des enregistrements de recherche de domaines et ouverts sans connexion.
Combien de liens Claroc a-t-il retrouvés ?
Plus de 6 800 URL de conversations Muse partagées, selon l'analyse des enregistrements de domaines.
Les liens ont-ils été exploités par des attaquants ?
Aucune preuve confirmée d'une exploitation par des attaquants extérieurs n'a été établie.