Το πρόβλημα της προβλέψιμης αρχιτεκτονικής URLs
Παρά τις διαβεβαιώσεις της Meta για την ασφάλεια του Muse, η υλοποίηση της λειτουργίας διαμοιρασμού αποδείχθηκε ελλιπής. Το κύριο ζήτημα εντοπίζεται στον τρόπο με τον οποίο δημιουργούνται οι σύνδεσμοι για την κοινοποίηση συνομιλιών. Αντί για τη χρήση ισχυρών μηχανισμών αυθεντικοποίησης (authentication) ή προσωρινών tokens πρόσβασης, το σύστημα βασίστηκε σε URLs που, αν και φαινομενικά τυχαία, κατέστησαν ευάλωτα σε ανάλυση μέσω εξωτερικών υπηρεσιών.
Η διαρροή μέσω παθητικού DNS (passive DNS)
Η έρευνα της Claroc ανέδειξε έναν συχνά παραγνωρισμένο κίνδυνο: την καταγραφή των αιτημάτων DNS. Όταν ένας χρήστης κάνει κλικ σε έναν σύνδεσμο κοινοποίησης, το αίτημα για την ανάλυση του domain καταγράφεται από παρόχους υπηρεσιών παθητικού DNS. Αυτές οι βάσεις δεδομένων, οι οποίες αποθηκεύουν ιστορικά δεδομένα ανάλυσης ονομάτων, επέτρεψαν στους ερευνητές να εντοπίσουν πάνω από 6.800 συνδέσμους μέσα σε ελάχιστο χρόνο, αποδεικνύοντας ότι η «ασφάλεια» που βασίζεται σε μη δημοσιοποιημένα URLs είναι ανεπαρκής.
Επιπτώσεις στην ιδιωτικότητα και επιχειρηματική ασφάλεια
Τα δεδομένα που εκτέθηκαν περιλάμβαναν από εσωτερικές αναφορές εσόδων και αιτήσεις δανείων, μέχρι προγράμματα διακοπών προσωπικού και σημειώσεις για εμπιστευτικές συναντήσεις. Το περιστατικό υπογραμμίζει την ανάγκη για αυστηρότερα πρωτόκολλα ασφαλείας κατά τον σχεδιασμό λειτουργιών που αφορούν την κοινοποίηση δεδομένων σε περιβάλλοντα παραγωγικής τεχνητής νοημοσύνης (Generative AI). Η Meta προχώρησε σε άμεση αναστολή της λειτουργίας, αναγνωρίζοντας την κρισιμότητα του κενού ασφαλείας.