Meta Muse की दो सुरक्षा खामियां—और इनके बारे में अब तक क्या पता है

Meta के AI एजेंट Muse में रिपोर्ट की गई एक सुरक्षा खामी से हमलावर को यूज़र के लिए बने निजी क्लाउड वातावरण तक पहुंच मिल सकती थी। इस वातावरण में ईमेल और फाइलें जैसी जानकारी हो सकती है। Meta ऐप के भीतर सुरक्षा चेतावनी को अधिक स्पष्ट कर रहा है, लेकिन उपलब्ध रिपोर्ट यह नहीं बतातीं कि खामी का तकनीकी तरीका क्या था या यूज़र को उससे फायदा उठाने के लिए क्या करना पड़ता। 118

यह मामला Muse के Mac ऐप में पहले सामने आई एक अलग खामी से जुड़ा हुआ नहीं है। सुरक्षा शोधकर्ता पैट्रिक वार्डल ने दिखाया था कि Mac पर पहले से चल रही कोई प्रक्रिया ऐप की डिक्टेशन ट्रैफिक को दूसरी जगह भेज सकती थी और संभावित रूप से प्रमाणीकरण से जुड़ी जानकारी हासिल कर सकती थी। दोनों रिपोर्ट अलग समस्याओं का वर्णन करती हैं; इन्हें एक ही हमले का तरीका नहीं समझना चाहिए। 71013

नई रिपोर्ट में किस तरह की पहुंच की बात है?

Reuters की रिपोर्ट के अनुसार, The Information ने बताया कि बाहरी शोधकर्ता ने यह खामी Meta के बग बाउंटी कार्यक्रम के जरिए कंपनी को बताई थी। रिपोर्ट में संभावित जोखिम यूज़र की समर्पित वर्चुअल मशीन तक पहुंच का है—यह यूज़र से जुड़ा क्लाउड-आधारित वातावरण है, जिसमें ईमेल और फाइलें जैसी जानकारी हो सकती है। 118

उपलब्ध रिपोर्ट यह नहीं बतातीं कि हमलावर इस खामी का फायदा कैसे उठा सकता था। उनसे यह भी साबित नहीं होता कि हमला किसी दुर्भावनापूर्ण लिंक के जरिए होता, यूज़र को लिंक पर क्लिक करना या अनुमति देना जरूरी था, अथवा संदेशों या सक्रिय सत्रों तक पहुंच बनी थी। Mac ऐप की अलग खामी को देखकर इन बातों का अनुमान नहीं लगाया जाना चाहिए।

Reuters के मुताबिक, Meta Muse में सुरक्षा चेतावनी को अधिक स्पष्ट कर रहा है। रिपोर्ट यह नहीं बताती कि यही एक बदलाव है या नहीं, मूल खामी ठीक की जा चुकी है या नहीं, अथवा कितने यूज़र प्रभावित हो सकते थे। 1

Mac ऐप की अलग खामी कैसे काम करती थी?

वार्डल की खोज Muse के macOS ऐप से संबंधित थी और इसके लिए यूज़र के Mac पर कोड का पहले से चलना जरूरी था। रिपोर्टों के मुताबिक, स्थानीय रूप से चल रहा कोई ऐप या कमांड Muse की एक अप्रकाशित सेटिंग बदल सकता था। यह सेटिंग तय करती थी कि डिक्टेशन की ट्रैफिक कहां भेजी जाए। उसे बदलकर यूज़र के बोले हुए निर्देश Meta की सेवा के बजाय किसी दूसरी जगह भेजे जा सकते थे, जिससे प्रमाणीकरण से जुड़ी जानकारी उजागर होने का जोखिम था। 1013

इस खामी को यूज़र को सिर्फ एक लिंक भेजकर शुरू किया जाने वाला हमला नहीं बताया गया था: Mac पर स्थानीय प्रक्रिया का मौजूद होना जरूरी था। रिपोर्ट किए गए तरीके में Muse का डिक्टेशन फीचर भी शामिल था। बताया गया कि Meta ने ऐप के प्रोडक्शन बिल्ड से उस सेटिंग को हटाकर Mac की इस खामी को ठीक किया। 710

AI एजेंट को व्यापक पहुंच देने का जोखिम

Muse ईमेल और मैसेजिंग ऐप जैसी सेवाओं से जुड़ सकता है। इसके Mac ऐप को फाइलों, माइक्रोफोन, कैमरा, लोकेशन और कैलेंडर जैसे संसाधनों की अनुमति भी मिल सकती है। 911 ऐसी पहुंच के चलते एजेंट में सेंध का असर बढ़ सकता है: अगर हमलावर एजेंट या उससे जुड़ी प्रमाणीकरण जानकारी पर नियंत्रण पा ले, तो वह उन सेवाओं का दुरुपयोग कर सकता है जिनकी अनुमति यूज़र पहले ही दे चुका है। वार्डल की स्थानीय ऐप वाली खोज इस जोखिम का उदाहरण है; इससे अलग रिपोर्ट की गई क्लाउड खामी का तरीका या असर साबित नहीं होता। 710

मुख्य बात यह है कि सामने आए प्रमाण और अभी अज्ञात विवरणों में फर्क रखा जाए। Mac की स्थानीय खामी का तरीका बताया गया था और उसे ठीक किए जाने की खबर आई। नई क्लाउड-एक्सेस रिपोर्ट संभावित असर और Meta के चेतावनी बदलाव का जिक्र करती है, लेकिन हमले का रास्ता, यूज़र की भूमिका और मूल खामी के समाधान की स्थिति स्पष्ट नहीं करती। 1718