Meta, güvenlik araştırmacılarının genel sohbet bağlantılarının ve içeriklerinin web üzerinden kolayca bulunmasına neden olan teknik bir hata keşfetmesinin ardından, daha önce paylaşılan tüm dosya ve belgeler için yeni bağlantılar oluşturulmasını içeren güvenlik düzenlemelerinin yapılmasının ardından, yapay zeka ajanı "Muse"daki paylaşım özelliğini yeniden başlattığını duyurdu.
Hatanın detayları ve verilerin ifşa olma mekanizması
Kriz, bu haftanın başında Claroc şirketinden güvenlik araştırmacılarının, Muse asistanı tarafından paylaşılan sohbetlere özel web adreslerinin (URL'ler), sohbet başlığından otomatik olarak türetildiğini ve Kamu DNS (Public DNS) kayıtlarına kaydedildiğini ortaya çıkarmasıyla başladı. Bu yapılandırma hatası, doğrudan bir siber saldırıya gerek kalmadan dahili sayfa ve belgelerin internet üzerinden bulunmasına olanak sağladı.
Araştırmacılar, bir pazarlama şirketinin dahili gelir incelemesini ve küçük bir şirket sahibine ait bir kredi başvurusunu içeren hassas dosyalara erişebildiklerini bildirdiler. Ars Technica sitesinin bu soruyu sormak için medya yoluyla iletişime geçmesinin ardından Meta, olayı araştırmak ve açığı kapatmak için paylaşım özelliğini geçici olarak askıya almaya karar verdi.
Sorunun çözümü ve sohbetler ile öğeler arasındaki ayrım
Meta yetkilisi David Singleton, X platformundaki bir paylaşımında, şirketin köklü hatayı düzelttiğini ve paylaşım özelliğini yeniden kullanıma sunduğunu açıkladı. Singleton, yazılımsal kusurun Meta'nın "Artifacts" (Öğeler) olarak adlandırdığı —Muse içinde oluşturulan veya kaydedilen belgeler ve görseller— bağlantılarla sınırlı olduğunu ve metin tabanlı sohbetlerin paylaşım mekanizmasında bir hata olmadığını vurguladı.
Güvenlik düzeltmesi, açık kapatılmadan önce oluşturulan tüm eski bağlantıların geçersiz kılınmasını içeriyordu; bu dosyalar artık tamamen yeni bağlantılara sahip. Eski bir bağlantıyı ziyaret etmeye çalışan herhangi bir kullanıcı, yeni bağlantıyı almak için içerik oluşturucuya başvurmasını isteyen bir bildirim görecek. Singleton bu konuda, "Bu işlemin biraz kafa karışıklığına neden olabileceğinin farkındayız ve bu aksaklık için özür dileriz, ancak kullanıcı verilerinin korunması her zaman önce gelmelidir" dedi.
Bu gelişme yapay zeka platformlarının güvenliği için ne anlama geliyor?
Bu olay, etkileşimli üretken yapay zeka araçlarının karşı karşıya olduğu sürekli bir zorluğa ışık tutuyor; şirketler sonuçların ve belgelerin kullanıcılar arasında paylaşılmasını kolaylaştırmaya çalışırken, tahmin edilebilir bağlantılar oluşturmak veya bunları kamuya açık DNS kayıtlarına dahil etmek gibi gevşek mühendislik uygulamaları, son derece hassas finansal ve kişisel verilerin istenmeyen şekilde sızmasına neden olabilir. Bu durum, geliştirme ekiplerini paylaşım bağlantılarını izole etmeye ve bunları halka açmadan önce takip edilemez şifrelenmiş tanımlayıcılarla donatmaya zorlamaktadır.