Des chercheurs de la société de sécurité Claroc ont retrouvé 6 800 liens de partage de conversations Muse, l'agent IA de Meta, consultables sans compte ni mot de passe. Demandes de prêt, alerte de fraude bancaire, documents internes d'entreprises, tout se lisait librement. Meta a fini par couper la fonction, le temps de revoir sa copie.
Une adresse web trop bavarde
Muse, l'agent IA que Meta a lancé le 8 septembre et qui s'est vite installé en tête de l'App Store, remplit des formulaires, réserve des rendez-vous et fait même des achats à votre place. Pour ça, il réclame un accès à vos mails, votre agenda et vos fichiers. Il propose aussi de partager une conversation via un lien public, et c'est là que tout dérape. Chaque page de partage reprend le titre de la conversation directement dans l'adresse du site, juste devant un identifiant aléatoire, du genre home-sale-budget-9f21c8a3.cf.metaaiusercontent.com. Sauf que dès que le destinataire ouvre le lien, les services de DNS passif, ces bases qui archivent les requêtes de navigation, enregistrent l'adresse complète. Une simple recherche sur le domaine de Muse ressort ensuite toute la liste, titres compris. Claroc parle de GhostShares, des pages qui s'ouvrent pour des gens qui n'ont jamais reçu le lien.
Des documents très sensibles
Les chercheurs ont ouvert quelques centaines de ces pages. La plupart étaient banales. Une minorité l'était beaucoup moins. Claroc est tombé sur les notes d'un candidat qui préparait un entretien confidentiel avec un grand labo d'IA, nom du contact et heure du rendez-vous compris, sur la demande de prêt d'un patron de PME avec le montant demandé, ou encore sur une liste de tâches qui mentionnait une alerte de fraude bancaire avec un numéro de compte partiel. On trouve aussi le rapport d'un investisseur immobilier, deux adresses et chiffres de rendement à l'appui, sans oublier le calendrier des congés d'une équipe entière sur un an.
Meta prévenu le 8 octobre
Claroc a signalé le problème le 8 octobre via le programme de bug bounty de Meta, sans jamais obtenir de réponse. Il a fallu la publication du rapport, le 20 octobre, pour que Meta suspende le partage, le temps d'examiner le dossier. Les pages sont depuis inaccessibles. L'épisode tombe mal pour un assistant que Mark Zuckerberg présentait en septembre comme conçu de A à Z pour la confidentialité et la sécurité. Trois semaines après le lancement, le chercheur Patrick Wardle avait déjà déniché une faille dans l'application Mac qui permettait à un logiciel déjà installé de prendre le contrôle du compte.
On en dit quoi ?
Mettre le titre de la conversation dans l'adresse même de la page, c'est une erreur de conception assez basique pour une entreprise de cette taille. OpenAI avait vécu la même mésaventure l'an dernier, quand des conversations ChatGPT partagées s'étaient retrouvées dans les résultats de Google, et la leçon n'est visiblement pas remontée jusqu'à Meta.
