В Meta починили уязвимость, позволявшую читать чужие ИИ-диалоги

[душман]

Специалист по кибербезопасности выявил уязвимость в системе Meta AI, позволявшую получать доступ к чужим запросам и ответам ИИ. Проблему обнаружил Сандип Ходкасиа, основатель компании AppSecure, который сообщил о ней Meta и получил $10 000 в рамках программы поощрения за обнаружение багов.

Как пишет TechCrunch, Ходкасиа выявил проблему ещё 26 декабря 2024 года, изучая механизм редактирования запросов в Meta AI. Оказалось, что при изменении текста или изображения серверы Meta присваивали каждому запросу и ответу уникальный номер (ID). 

Однако исследователь заметил, что, подменив этот номер в сетевом запросе, можно получить доступ к чужим диалогам с искусственным интеллектом (ИИ). Проблема заключалась в том, что система не проверяла, имеет ли пользователь право просматривать конкретный запрос. 

Ходкасиа отметил, что номера запросов были предсказуемыми, что теоретически позволяло злоумышленникам массово собирать данные, автоматически перебирая возможные комбинации. Meta устранила уязвимость 24 января 2025 года. При этом представитель компании Райан Дэниелс заявил изданию TechCrunch, что не было обнаружено каких-либо свидетельств злонамеренного использования бага.