Meta Muse : des liens partagés exposent des données

Des chercheurs en cybersécurité affirment que Muse, le nouvel assistant IA de Meta, expose des données sensibles lorsque des conversations sont partagées via des liens web. En cause : de nombreux liens partagés seraient faciles à retrouver.

Comment les liens Muse partagés sont devenus accessibles

Muse permet aux utilisateurs de partager des recherches, des conversations, des images et d'autres contenus en créant un lien web dédié. Les chercheurs en sécurité de Claroc indiquent avoir récupéré 6 800 liens créés par des utilisateurs de Muse à l'aide d'une simple requête. Tous utilisent le domaine cf.metaaiusercontent.com et intègrent, dans la structure de l'URL, le titre de la conversation ainsi qu'une courte chaîne de texte. Selon les chercheurs, ces adresses sont ainsi faciles à retrouver et susceptibles d'être enregistrées dans des archives publiques sur Internet.

Claroc a constaté qu'après le clic d'une personne sur un lien de partage, le contenu associé était enregistré dans une base de données consultable. Les chercheurs ont baptisé ces pages « GhostShares », car elles peuvent être consultées par des personnes n'ayant jamais reçu le lien, mais capables de les retrouver par leurs propres moyens.

Exemples de contenus exposés identifiés par Claroc

Après avoir examiné plusieurs centaines de liens récupérés, Claroc a rapporté qu'un large éventail d'informations sensibles ou confidentielles avait été exposé sans que les utilisateurs aient l'intention de les rendre publiques. Parmi les exemples relevés :

• Des notes d'un candidat préparant un entretien confidentiel avec un important laboratoire d'IA, comprenant le nom d'un contact interne au laboratoire et l'heure prévue du rendez-vous
• Un document interne d'analyse des revenus d'une entreprise de marketing
• Un formulaire de demande de prêt d'un propriétaire de petite entreprise, comprenant le montant demandé
• La liste quotidienne des tâches d'un utilisateur
• Un rapport interne de performance destiné à un investisseur immobilier
• Un tableur de planification des congés annuels du personnel d'une organisation

Réponse de Meta et recommandations de Claroc aux utilisateurs

Claroc a indiqué que ses tentatives pour contacter Meta avaient échoué et que le groupe n'avait pas répondu aux demandes d'information concernant ce problème. L'entreprise a souligné que Mark Zuckerberg, le PDG de Meta, a présenté Muse comme étant « conçu dès l'origine pour protéger la vie privée et la sécurité ».

Le directeur de la technologie de Claroc a déclaré que ce comportement semblait relever de la conception même du système Muse. Il a averti les utilisateurs que les liens partagés sont, en pratique, publics et peuvent être retrouvés par des méthodes simples. Claroc recommande d'éviter de partager des informations sensibles avec des outils d'IA et de supprimer, dès que possible, les liens de partage créés auparavant.