Meta suspende la posibilidad de compartir las conversaciones con Muse tras detectarse que exponía información sensible
Meta ha suspendido la posibilidad de compartir conversaciones mantenidas con el agente de inteligencia artificial personal Muse después de que investigadores de seguridad alertaran de que esta función estaba exponiendo información sensible de los usuarios.
Los usuarios de Muse tienen la posibilidad de compartir las conversaciones con sus contactos mediante la generación de un enlace, que solo tienen que pinchar para acceder a su contenido en formato página.
Esta función presenta un problema de privacidad, como han descubierto los investigadores de la firma de seguridad Claroc. Ese enlace es público por diseño. "Muse asigna a la dirección web de cada publicación el mismo título de la conversación, y esa dirección se registra en el DNS público", explican en el texto de su investigación.
Este diseño permite a cualquiera buscar conversaciones en el DNS pasivo --el historial de consultas y respuestas del Sistema de Nombres de Dominio-- y abrirlas. "Lo que facilita encontrar las páginas compartidas por Muse es el título que aparece en la dirección web, donde el DNS público la registra para que cualquiera pueda buscarla", añaden desde Claroc.
Por el comportamiento que tienen estas páginas, "que se abren para personas a las que nunca se les proporcionó el enlace y que pueden encontrar por sí mismas", los investigadores las han llamado GhostShares.
Se trata de un fallo de privacidad que pone en riesgo información sensible compartida por los usuarios de Muse. La investigación cita el acceso a registros personales y documentos internos de empresas. "Para cualquiera que busque causar daño, una lista como esa es un atajo perfecto para el fraude, la suplantación de identidad o la ingeniería social", han advertido.
Tras ser preguntados por Ars Technica sobre este tema, Meta ha confirmado que de manera temporal ha dejado de estar disponible la compartición de conversaciones. "Hemos suspendido esta función mientras revisamos este informe y consideramos cambios en la forma en que se pueden encontrar estos enlaces", ha dicho un portavoz en un comunicado enviado al medio citado.
Claroc informó de este problema de privacidad a Meta el pasado 8 de octubre a través del progama de recompensas por detección de errores de Muse, un mes después del lanzamiento del agente de IA. Está diseñado para ayudar a los usuarios en una gran variedad de tareas que van desde reservar un viaje, gestionar el calendario o rellenar formularios hasta renegociar una factura o realizar un pago tras la confirmación previa.
