Muse-haavoittuvuus nosti esiin käyttäjien tietojen tietosuojariskin

Ulkopuolinen tietoturvatutkija ilmoitti Metan Muse-tekoälyagentissa havaitsemastaan haavoittuvuudesta yhtiön bug bounty -ohjelmassa. Vika olisi voinut antaa hyökkääjälle pääsyn käyttäjän omaan virtuaalikoneeseen, jossa voi olla sähköposteja ja tiedostoja. Kyse on mahdollisesta tietojen paljastumisriskistä: käytettävissä olevat tiedot eivät vahvista, että kukaan olisi päässyt käsiksi käyttäjien tietoihin tai varastanut niitä. 111

Mitä tietoja olisi voinut joutua vaaraan?

Muse käyttää käyttäjäkohtaisia virtuaalikoneita eli pilvipohjaisia ympäristöjä. The Informationin tarkasteleman Metan sisäisen tapausraportin mukaan haavoittuvuus olisi voinut avata hyökkääjälle pääsyn tällaiseen ympäristöön ja siellä säilytettäviin tietoihin, kuten sähköposteihin ja tiedostoihin. 12

Julkisissa raporteissa ei kuvata teknistä toimintatapaa riittävän tarkasti, jotta haavoittuvuuden mekanismista voisi sanoa enempää. Niissä ei myöskään osoiteta, että vikaa olisi käytetty hyväksi tai että käyttäjien tietoja olisi saatu haltuun. 111

Metan vastaus ja epäselvä vakavuusluokitus

Meta kertoi lisäävänsä Museen aiempaa selkeämmän turvallisuusvaroituksen sen jälkeen, kun tutkija ilmoitti viasta bug bounty -ohjelmassa. Julkisuudessa olleet tiedot eivät erittele, millainen tekninen korjaus haavoittuvuuteen mahdollisesti tehtiin. 13

Raportit ovat eri linjoilla siitä, miten vakavaksi vika alun perin luokiteltiin. Yhden jutun yhteenvedossa sitä kuvataan korkean vakavuustason SEV-2-tapaukseksi, kun taas toisessa alkuperäisen luokituksen sanotaan olleen keskitasosta korkeaan. Reutersin yhteenvedossa luokitusta ei mainita. Siksi alkuperäisestä vakavuusarviosta ei voi käytettävissä olevien lähteiden perusteella sanoa varmasti. 1424

Mitä Muse tekee – ja miksi haavoittuvuus on merkittävä?

Muse on suunniteltu hoitamaan tehtäviä käyttäjän puolesta. Se voi esimerkiksi tehdä ostoksia, varata matkoja, lähettää sähköposteja ja suorittaa maksuja. 48 Kun tekoälyagentilla on pääsy käyttäjän tietoihin ja palveluihin, sen oman virtuaaliympäristön mahdollinen paljastuminen herättää yksityisyyteen liittyviä kysymyksiä, jotka ulottuvat tavallista tehtävien suorittamista laajemmalle. 14

Muse nousi Reutersin mukaan julkaisunsa jälkeen Yhdysvaltojen sovelluslatausten kärkeen, mutta raportissa ei anneta latausmääriä. 17