Telset.id – Fitur berbagi tautan di asisten AI Muse milik Meta untuk sementara dinonaktifkan setelah peneliti keamanan menemukan bahwa siapa pun dapat melacak dan membuka tautan berbagi milik pengguna lain. Peneliti dari firma keamanan Claroc berhasil memetakan 6.800 tautan berbagi Muse, dan sebagian di antaranya memuat informasi yang jelas tidak dimaksudkan untuk publik. Meta menyatakan fitur ini dijeda sambil meninjau laporan tersebut.
Muse sendiri sebelumnya digadang-gadang Meta CEO Mark Zuckerberg sebagai asisten yang “dibangun dari nol untuk privasi dan keamanan”. Klaim itu kini diuji langsung oleh temuan Claroc, yang menunjukkan bahwa desain URL berbagi Muse justru membuat tautan mudah ditemukan, bukan terlindungi.
Claroc mengungkap temuannya setelah membuka beberapa ratus dari 6.800 tautan yang berhasil dipetakan. Isi yang ditemukan mencakup catatan seorang kandidat yang tengah bersiap untuk panggilan eksekutif rahasia dengan sebuah laboratorium AI frontier, lengkap dengan nama kontak internal dan waktu pertemuan. Ada pula tinjauan pendapatan internal sebuah perusahaan pemasaran nasional yang ditujukan untuk CEO-nya, aplikasi pinjaman seorang pemilik usaha kecil beserta jumlah yang diajukan, serta daftar tugas yang memuat peringatan penipuan bank dengan sebagian nomor rekening dan nominal transaksi.
Temuan lain termasuk laporan kinerja internal seorang investor properti dengan dua alamat properti serta angka pengembalian, pendapatan, dan hipotek yang persis, juga kalender libur karyawan satu tempat kerja sepanjang tahun yang mencantumkan puluhan nama karyawan. “Jika Anda bertanya sebelumnya, kami akan menebak bahwa mengumpulkan ini butuh usaha nyata,” tulis para peneliti. “Ternyata hanya perlu satu kueri.”
Kenapa Tautan Muse Mudah Ditemukan
Claroc menjelaskan bahwa seluruh tautan berbagi Muse menggunakan nama domain cf.metaaiusercontent.com. Kemudahan pencarian makin besar karena Muse menambahkan nama percakapan ke dalam URL, berdampingan dengan rangkaian teks panjang. Contoh sederhananya seperti home-sale-budget-9f21c8a3.cf.metaaiusercontent.com, q3-revenue-review-7b1e42f0.cf.metaaiusercontent.com, dan loan-application-draft-a4c9e2.cf.metaaiusercontent.com.
Keputusan desain menempatkan judul percakapan di subdomain, bukan di jalur URL, itulah yang membuat penemuan publik mungkin terjadi. Cara termudah menemukan URL tersebut adalah melakukan pencarian DNS pasif melalui salah satu dari banyak layanan komersial yang tersedia. Catatan DNS pasif menyimpan resolusi historis nama domain ke alamat IP, termasuk catatan nameserver dan mail-server dari waktu ke waktu.
Catatan DNS pasif umumnya dibuat ketika sistem pemantauan mengamati respons DNS. Dalam kasus ini, begitu pihak yang dituju mengklik tautan berbagi, informasi DNS tercatat di basis data yang bisa dicari. “Banyak asisten AI berbagi lewat tautan publik,” kata Claroc. “Yang membuat berbagi di Muse mudah ditemukan adalah judul yang berada di dalam alamat web, tempat DNS publik mencatatnya agar siapa pun bisa mencari. Kami menyebutnya GhostShares: halaman yang terbuka bagi orang yang tidak pernah diberi tautan, dan orang-orang itu bisa menemukannya sendiri.”
Baca Juga:
Respons Meta dan Jejak Masalah Keamanan Muse
Dalam pernyataan lewat email sebagai jawaban atas pertanyaan Ars, Meta mengatakan: “Kami membuka program bug bounty Muse agar peneliti dapat mengangkat berbagai skenario dan membantu kami terus meningkatkan produk. Orang-orang memiliki kemampuan untuk membagikan artefak Muse tertentu, yang membuat halaman dapat diakses oleh mereka yang memiliki tautan. Namun, kami telah menjeda fungsi ini sambil meninjau laporan ini dan mempertimbangkan perubahan pada cara tautan ini dapat ditemukan.”
Asaf Aprozper, cofounder dan CTO Claroc, mengatakan ia melaporkan temuan tersebut melalui program bug bounty Meta pada 8 Oktober dan juga mencoba menghubungi pihak Meta melalui LinkedIn, tetapi tidak mendapat balasan dari kedua jalur itu.
Temuan ini bukan insiden keamanan pertama bagi Muse. Tiga minggu setelah peluncuran Muse, pakar keamanan macOS Patrick Wardle menemukan kerentanan zero-day yang memungkinkan aplikasi lain yang terpasang di perangkat yang sama mengambil kendali penuh atas akun Muse pengguna. Meta mengecilkan tingkat keparahan kerentanan tersebut dengan alasan eksploitasi tidak mungkin dilakukan kecuali perangkat sudah disusupi. Perusahaan tidak mengakui temuan Wardle bahwa serangan ClickFix sederhana sudah cukup untuk membajak akun.
Muse sendiri sempat melesat ke posisi teratas di App Store Apple. Asisten ini secara otonom mengisi formulir, memesan janji temu, melakukan pembelian, membuat dokumen, dan menjalankan berbagai tindakan lain. Agar bekerja sesuai fungsinya, Muse membutuhkan akses ke sebagian besar akun pengguna, dan Meta gencar memasarkannya sebagai platform yang layak menerima kepercayaan luar biasa tersebut.
Kemudahan menemukan tautan berbagi ini memperkuat pertanyaan apakah Muse memang layak mendapatkan akses yang dibutuhkannya. Dengan penangguhan fitur oleh Meta, pengguna Muse tidak lagi menghadapi ancaman khusus ini, setidaknya untuk saat ini. Bagi pengguna yang ingin mengikuti perkembangan produk Meta lainnya, perubahan antarmuka aplikasi mereka juga menjadi sorotan, seperti yang terlihat pada WhatsApp Redesign Android.
Kisah ini pertama kali muncul di Ars Technica.
Komentar
Belum ada komentar.