Brecha na IA da Meta expõe milhares de conversas e dados sigilosos dos usuários

A Meta interrompeu temporariamente o compartilhamento de conversas do Muse, seu novo agente de inteligência artificial (IA), após pesquisadores identificarem uma falha que pode expor informações pessoais e dados comerciais confidenciais. Com a vulnerabilidade, era possível encontrar milhares de links criados por usuários para compartilhar pesquisas, conversas, imagens e outros conteúdos com o assistente, mesmo sem receber os endereços diretamente.

A falha foi descoberta por pesquisadores da empresa de segurança Claroc, que encontraram 6.800 links do Muse com uma única consulta a serviços comerciais de DNS passivo. A análise de uma amostra revelou documentos financeiros internos enviados a CEOs, pedidos de empréstimo de pequenos empresários, relatórios imobiliários com endereços e valores de hipotecas, alertas de fraude bancária com números parciais de contas e calendários completos de férias de funcionários.

O problema estava na forma como o Muse criava os links de compartilhamento. A ferramenta colocava o título das conversas em uma parte do endereço chamada subdomínio, como em home-sale-budget-9f21c8a3.cf.metaaiusercontent.com, em vez de deixá-lo no restante da URL. Quando alguém acessava o link, a consulta DNS ficava registrada em bancos de dados públicos, que podem ser pesquisados por terceiros. A Claroc chamou a falha de GhostShares, nome que faz referência às páginas que podem ser encontradas por pessoas que nunca receberam os links originais.