Meta'ning yangi Muse AI yordamchisida jiddiy zero-day zaifligi aniqlandi

Meta asoschisi Mark Sukerberg Muse nomli yangi AI yordamchisining maxfiylik va xavfsizlikka to'liq moslab qurilganini ta'kidlagan edi. Biroq tizimda topilgan jiddiy zero-day zaifligi bu da'volarga shubha uyg'otdi. Agent foydalanuvchi nomidan xaridlarni amalga oshirish, uchrashuvlarni rejalashtirish, xabarlar yuborish va macOS tizimidagi mikrofon, kamera kabi cheklangan resurslarga to'g'ridan to'g'ri kirish imkoniyatiga ega bo'lgan.

Zaiflikni macOS xavfsizligi bo'yicha taniqli ekspert Patrik Uordl aniqladi. Ma'lum bo'lishicha, dasturdagi xatolik tufayli har qanday mahalliy dastur yoki terminal buyrug'i Muse yordamchisining ovozni matnga aylantirish (transkripsiya) server manzilini o'zgartira olgan. Natijada xakerlar foydalanuvchining autentifikatsiya tokenini o'z serverlariga yo'naltirib, agent vakolatlaridan to'liq foydalanish imkoniyatiga ega bo'lishgan.

Uordl ushbu zaiflik orqali foydalanuvchiga bildirmasdan veb-kamera orqali suratga olish va xavfli fayllarni yuklash mumkinligini amalda isbotlab berdi. Ekspertning ta'kidlashicha, Meta ishlab chiquvchilari macOS'ning qurilma ichidagi xavfsiz transkripsiyasidan foydalanish o'rniga, barcha ma'lumotlarni bulutga yuborishni tanlagani bu xavfni yuzaga keltirgan.

Ushbu hodisa ortidan Amazon kompaniyasi ham foydalanuvchilarga saytda xarid qilish uchun Muse'dan foydalanishni taqiqlab qo'ydi. Amazon agent uchinchi tomon ilovasi sifatida xizmat ko'rsatish shartlarini buzayotganini va mijozlar xavfsizligini ta'minlash maqsadida Meta'dan platformani qo'llab-quvvatlashni to'xtatishni talab qilganini bildirdi.

Meta ma'lumot e'lon qilinganidan 12 soat o'tib, zaiflikni bartaraf etuvchi tezkor dasturiy tuzatish (hotfix) chiqarganini ma'lum qildi. Kompaniya bu masofaviy buzib kirish emasligini aytgan bo'lsa-da, keng vakolatlarga ega AI agentlarning amaldagi xavfsizlik darajasi soha mutaxassislari orasida jiddiy savollarni keltirib chiqarmoqda.