گروه علمی و فناوری برنا/ پژوهشگران امنیت سایبری با شناسایی یک آسیب‌پذیری در قابلیت اشتراک‌گذاری گفت‌و‌گو‌های هوش مصنوعی Muse متعلق به متا، توانستند ۶۸۰۰ پیوند از مکالمات به‌اشتراک‌گذاشته‌شده کاربران را شناسایی کنند و به اطلاعات خصوصی و اسناد داخلی شرکت‌ها دسترسی پیدا کنند. شرکت متا قابلیت اشتراک‌گذاری گفتوگوها در پلتفرم هوش مصنوعی عامل‌محور Muse را پس از شناسایی یک مشکل امنیتی که می‌توانست اطلاعات خصوصی کاربران را در دسترس دیگران قرار دهد، به حالت تعلیق درآورد.
این پلتفرم که متا ماه گذشته میلادی معرفی کرده بود امکان اشتراک‌گذاری گفت‌و‌گو‌های کاربران با عامل هوش مصنوعی را از طریق ایجاد یک پیوند اینترنتی فراهم می‌کرد. با این حال پژوهشگران امنیتی دریافتند که ساختار این پیوند‌ها به‌گونه‌ای است که افراد دیگر نیز می‌توانند بالقوه آنها را پیدا کنند و به محتوای مکالمات دسترسی داشته باشند. بر اساس گزارش شرکت امنیت سایبری Claroc پژوهشگران این شرکت متوجه شدند که پیوند‌های مربوط به گفت‌و‌گو‌های به‌اشتراک‌گذاشته‌شده Muse از طریق جست‌و‌جو در پایگاه‌های داده DNS غیرفعال قابل شناسایی هستند.
دلیل این مسئله آن بود که تمام پیوند‌های اشتراک‌گذاری از نام دامنه یکسانی استفاده می‌کردند و عنوان هر گفت‌و‌گو نیز در زیردامنه مربوط به آن قرار می‌گرفت. DNS یا سامانه نام دامنه سازوکاری است که نام‌های قابل‌خواندن برای انسان را به نشانی‌های IP مورد استفاده مرورگر‌ها و سامانه‌های اینترنتی مرتبط می‌کند. سوابق DNS غیرفعال نیز اطلاعات ثبت‌شده درباره این ارتباط‌ها را نگهداری می‌کنند و امکان بررسی تغییرات و سوابق نام‌های دامنه را فراهم می‌سازند.
شرکت Claroc در توضیح این آسیب‌پذیری در مطلبی وبلاگی نوشت: Muse نشانی وب هر محتوای به‌اشتراک‌گذاشته‌شده را بر اساس عنوان خود گفت‌و‌گو تعیین می‌کند و این نشانی در DNS عمومی ثبت می‌شود. یک جست‌و‌جو در پایگاه داده DNS غیرفعال هزاران مورد از این پیوند‌ها را برمی‌گرداند که بر اساس نام فهرست شده‌اند، درست مانند فهرست مطالب یک کتاب. بر اساس یافته‌های این شرکت پژوهشگران توانستند در مجموع ۶۸۰۰ پیوند مربوط به گفت‌و‌گو‌های به‌اشتراک‌گذاشته‌شده Muse را شناسایی کنند و محتوای آنها را مشاهده کنند.
این مکالمات شامل اطلاعات مربوط به استفاده‌های شخصی و تجاری از این سرویس بود و برخی از آنها جزئیات خصوصی یا اسناد داخلی شرکت‌ها را در بر می‌گرفتند. از جمله اطلاعات افشاشده می‌توان به زمان‌بندی جلسات با یک آزمایشگاه پیشرو در حوزه هوش مصنوعی، درخواست دریافت وام یک کسب‌وکار کوچک، هشدار مربوط به تقلب بانکی همراه با بخشی از اطلاعات حساب، تقویم تعطیلات کارکنان یک شرکت و سایر اسناد داخلی سازمانی اشاره کرد.
این موارد نشان می‌دهد که مشکل شناسایی‌شده صرفا به مکالمات عمومی یا اطلاعات کم‌اهمیت محدود نبوده و می‌توانسته اطلاعات حساس مرتبط با فعالیت‌های تجاری و امور شخصی کاربران را نیز در معرض دسترسی دیگران قرار دهد. وب‌سایت Ars Technica نخستین رسانه‌ای بود که گزارش مربوط به بررسی‌های شرکت Claroc را منتشر کرد. متا در پاسخ به این رسانه، درباره این مشکل امنیتی اعلام کرد: این قابلیت را تا زمانی که گزارش را بررسی کنیم و تغییرات احتمالی در نحوه کشف این پیوند‌ها را در نظر بگیریم متوقف کرده‌ایم.
شرکت Claroc همچنین اعلام کرد که پس از اعمال تغییرات از سوی متا پژوهشگران این شرکت دیگر نتوانسته‌اند به تعدادی از پیوند‌هایی که پیش‌تر به آنها دسترسی داشتند وارد شوند. این موضوع نشان می‌دهد که دست‌کم برخی از پیوند‌های بررسی‌شده پس از به‌روزرسانی متا دیگر قابل دسترسی نبوده‌اند. اطلاعات منتشرشده تاکنون جزئیات کاملی درباره دامنه نهایی این مشکل تعداد کاربران متاثر از آن یا احتمال دسترسی افراد غیرمجاز به اطلاعات از مسیر‌های دیگر ارائه نمی‌کند. انتهای پیام/
منبع: خبرگزرای برنا
