Celah di Muse Meta Picu Kekhawatiran soal Privasi Email dan File

Seorang peneliti keamanan eksternal melaporkan kerentanan pada agen AI Muse milik Meta melalui program bug bounty perusahaan. Celah tersebut berpotensi memungkinkan penyerang mengakses mesin virtual khusus seorang pengguna, yang dapat berisi email dan file. Namun, laporan yang tersedia tidak membuktikan bahwa celah itu pernah dieksploitasi atau bahwa data pengguna telah diakses maupun dicuri. 111

Data apa yang berisiko?

Muse menggunakan mesin virtual khusus untuk setiap pengguna—lingkungan individual berbasis komputasi awan. Berdasarkan laporan insiden internal Meta yang ditinjau The Information, kerentanan itu berpotensi membuka akses ke lingkungan tersebut dan informasi di dalamnya, termasuk email serta file. 12

Informasi publik belum menjelaskan mekanisme teknis celah secara terperinci. Karena itu, belum cukup dasar untuk menyimpulkan bagaimana kerentanan tersebut bekerja atau apakah ada pihak yang berhasil memanfaatkannya. 111

Respons Meta dan tingkat keparahan yang belum jelas

Meta dilaporkan sedang menambahkan peringatan keselamatan yang lebih jelas di dalam Muse setelah peneliti menyampaikan temuan melalui program bug bounty. Laporan yang tersedia tidak merinci perbaikan teknis yang dilakukan. 13

Keterangan mengenai klasifikasi awal tingkat keparahan juga tidak seragam. Satu laporan menyebut insiden tersebut sebagai SEV-2 dengan tingkat keparahan tinggi, sementara laporan lain menyebut klasifikasi awalnya berada pada tingkat menengah hingga tinggi. Ringkasan Reuters tidak mencantumkan klasifikasi itu, sehingga tingkat awalnya belum dapat dipastikan berdasarkan sumber yang tersedia. 1424

Apa yang bisa dilakukan Muse?

Muse dirancang untuk menjalankan sejumlah tugas atas nama pengguna, seperti berbelanja, memesan perjalanan, mengirim email, dan melakukan pembayaran. 48 Karena agen ini beroperasi dengan akses ke data dan layanan yang terhubung dengan pengguna, kerentanan yang berpotensi membuka lingkungan virtualnya menimbulkan persoalan privasi di luar fungsi tugas sehari-hari. 14

Setelah diluncurkan, Muse juga dilaporkan sempat memuncaki daftar unduhan aplikasi di Amerika Serikat. Namun, laporan yang dikutip tidak menyertakan jumlah unduhan. 17