Исследователи из Claroc нашли 6 800 ссылок, которыми пользователи делились диалогами с чат-ботом Meta Muse, и в этих ссылках лежали чужие секреты — от заявки на кредит до календаря отпусков сотрудников. Любой, кто знал, где искать, мог открыть чужую переписку: ссылки были устроены так, что их легко было обнаружить. Meta уже приостановила функцию шеринга и говорит, что проверяет отчёт и рассматривает изменения. Это не абстрактная утечка данных Meta Muse, а очень бытовой сценарий: удобная кнопка «поделиться» превращает личный разговор в страницу, которую может открыть кто угодно.
Что произошло на самом деле
Muse — новый универсальный ИИ-агент от Meta, то есть помощник, с которым можно вести диалог и решать разные задачи. Как и многие онлайн-сервисы, он разрешал делиться поисками, разговорами и картинками с другими людьми. Нажимаешь «поделиться» — получаешь уникальную ссылку, и любой, у кого она есть, открывает страницу с твоим контентом.
Обычно такие адреса содержат длинную последовательность символов, которую трудно угадать. Марк Цукерберг в прошлом месяце говорил, что Muse «создан с нуля с прицелом на приватность и безопасность». Но одно проектное решение всё сломало: в ссылку добавляли название диалога. А ещё все ссылки жили на одном домене — cf.metaaiusercontent.com.
Дальше сработала смекалка, а не взлом. Исследователи из security-фирмы Claroc воспользовались пассивным DNS — это, если по-простому, журнал, где хранится история того, какие домены и когда открывали. Один запрос — и перед ними лежал список ссылок Muse. Они открыли несколько сотен и увидели то, что явно не предназначалось для чужих глаз: заметки кандидата перед конфиденциальным звонком с хедхантером по вакансии в передовой AI-лаборатории, с именем внутреннего контакта и временем встречи; внутренний обзор оборота национальной маркетинговой компании, помеченный для её CEO; заявку на кредит владельца малого бизнеса с запрошенной суммой; список дел с предупреждением о банковском мошенничестве, частью номера счёта и суммой перевода; отчёт инвестора в недвижимость с двумя адресами объектов и точными цифрами доходности; календарь отпусков на год с десятками сотрудников. Сами исследователи удивились: «Если бы нас спросили заранее, мы бы решили, что собрать это требует реальных усилий. Понадобился один запрос».
Асаф Апрозпер, соучредитель и технический директор Claroc, сообщил о находке 8 октября через bug bounty программу Meta. Ответа он не получил ни там, ни через LinkedIn.
Почему ссылки оказались такими открытыми
Представь, что ты вместо случайного пароля к файлу назвал документ «зарплаты-за-март» и положил его в общую папку. Вроде и пароль есть, и папка не на видном месте, но название само всё рассказало. Так и здесь: длинная строка символов в адресе должна была защищать, а название диалога работало как подсказка. Плюс все страницы на одном домене — как один подъезд с одинаковыми дверями. Пассивный DNS в этой метафоре — журнал посещений: кто-то прошёл, запись осталась.
Важно понять главное: это не хитрый взлом из фильмов. Это ошибка в дизайне ссылок. И именно поэтому история касается не только Muse, а вообще приватности чат-ботов: чем больше сервисов дают кнопку «поделиться», тем внимательнее надо смотреть, что именно уходит в ссылку.
Что это даёт лично тебе
Вот пять вполне жизненных сценариев — и навык, который каждый из них даёт.
• Фрилансер-дизайнер Лена готовит смету для клиента и вставляет в чат реальные бюджеты и название компании. Хочет показать коллеге логику расчёта — нажимает «поделиться». В утечке как раз были внутренние документы с точными цифрами. Что получает Лена: привычку до отправки заменять названия и суммы на «клиент А» и «сумма X».
• Владелец кофейни Артём просит ИИ разобрать недельный оборот и зарплаты бариста. В найденных ссылках был внутренний обзор оборота компании, помеченный для CEO. Что получает Артём: понимание, что бизнес-цифры — такой же секрет, как пароль от почты.
• Мама двоих детей Оля ведёт в чат-боте список дел, куда случайно попали номер счёта и сумма перевода. Среди открытых ссылок был список дел с предупреждением о банковском мошенничестве, частью номера счёта и суммой. Что получает Оля: простой чек-лист «что вырезать из бытового списка».
• Студентка Катя готовит конспект с именами и оценками одногруппников. Что получает Катя: правило не грузить в ИИ чужие персональные данные — даже «просто для примера».
• Соискатель Сергей готовится к звонку с хедхантером и пишет имя контакта и время встречи. Ровно такие заметки и нашли исследователи. Что получает Сергей: схему «контакт → [контакт], время → [время]» и спокойствие перед разговором.
Общий вывод простой: безопасность ИИ-ассистента начинается не с разработчика, а с тебя. Один раз научишься обезличивать промпт — и дальше делаешь это на автомате.
Как попробовать прямо сейчас
1. Открой Muse, если у тебя есть к нему доступ. Если нет — возьми любой чат-бот: принцип одинаковый, кнопка «поделиться» есть почти везде.
2. Найди кнопку «Поделиться» / Share и пока не нажимай её. Meta приостановила шеринг, пока проверяет отчёт и рассматривает изменения, — это хороший момент, чтобы вообще пересмотреть привычку.
3. Пролистай старые диалоги и вспомни, где ты уже отправлял ссылку. Помечай такие чаты как «потенциально публичные»: исходник не говорит, что старые ссылки как-то закрыли.
4. Перед новым промптом сделай чистку. Имя → [имя], компания → [компания], сумма → [сумма], адрес → [адрес], время встречи → [время]. Это бесплатно и работает в любом чат-боте.
5. Если работаешь в команде, заведи правило: секретные цифры и чужие персональные данные в чат-бот не попадают. Обсуждай обезличенные куски — результат будет тот же, а риска меньше.
Что получится: у тебя появится личный шаблон безопасного промпта. Пять минут настройки — и дальше ты просто пишешь «клиент А» вместо реального названия.
Плюсы, минусы и честные ограничения
Плюс первый: Meta приостановила шаринг. Пока идёт проверка, случайно поделиться разговором через ссылку не получится. Плюс второй: у Meta открыта bug bounty программа — исследователи могут сообщать о таких сценариях. Плюс третий: история стала уроком для всех, кто пользуется ИИ. А что проверять перед нажатием «поделиться», ты теперь будешь понимать.
Минус один: если ты использовал шеринг в работе, теперь придётся копировать текст вручную. Минус два: 6 800 ссылок уже были созданы, и исходник не говорит, что каждая из них закрыта. Минус три: Апрозпер не получил ответа ни через bug bounty, ни через LinkedIn — значит, реакция на такие отчёты не мгновенная, и полагаться только на разработчика не стоит.
Вывод и одно действие на сегодня
Удобство и приватность снова столкнулись, и на этот раз проиграла приватность: личные разговоры стали открытыми из-за названия в адресной строке. Хорошая новость в том, что твоя личная защита не требует сложных инструментов. Одно действие на сегодня: открой любой свой чат с ИИ и замени в следующем сообщении имя, сумму и адрес на метки в квадратных скобках. Проверь, что ответ от этого не стал хуже. Если остались вопросы — задай их в комментариях у @aigoby.
🎁 Бонус: промпт для проверки текста
Скопируй этот промпт и вставь перед отправкой любого текста в ИИ — он поможет вычистить лишнее.
```text
Ты — мой редактор по приватности. Проверь текст ниже и найди всё, что может раскрыть меня или навредить: имена, должности, названия компаний, суммы, номера счетов, адреса, даты встреч, названия внутренних проектов. Замени каждое на метку вида [имя], [компания], [сумма], [адрес], [дата]. Сохрани смысл и стиль. В конце дай список замен и объясни, почему каждое опасно.
Текст: ...
```
И короткий чек-лист на каждый день:
• Имена людей и компаний — только как [имя] и [компания].
• Суммы, номера счетов, адреса — только как [сумма], [номер], [адрес].
• Даты и время встреч — только как [дата], [время].
• Чужие персональные данные — не вставляю вообще.
• Кнопку «Поделиться» не нажимаю, пока не проверю, что именно уйдёт в ссылку.
Комментарии 0