Meta Muse güvenlik açıkları: Bulut raporu ile Mac hatası neden ayrı?

Meta’nın Muse yapay zekâ aracında bildirilen bir güvenlik açığı, saldırganın kullanıcıya ayrılmış bulut ortamına erişmesine imkân verebilirdi. Bu ortam, e-postalar ve dosyalar gibi kişisel veriler içerebiliyor. Reuters’ın aktardığına göre Meta, Muse içindeki güvenlik uyarısını daha anlaşılır hâle getiriyor. Ancak kamuya açık haberlerde açığın teknik olarak nasıl kullanılabileceği veya kullanıcının hangi adımı atmasının gerekeceği açıklanmıyor. 118

Bu rapor, Muse’un Mac uygulamasında daha önce ortaya çıkarılan kusurdan farklı. Güvenlik araştırmacısı Patrick Wardle, Mac’te hâlihazırda çalışan bir sürecin uygulamanın dikte trafiğini başka bir yere yönlendirebildiğini ve kimlik doğrulama verilerini potansiyel olarak açığa çıkarabildiğini gösterdi. İki bulgu ayrı güvenlik sorunları; tek bir saldırı yöntemi gibi ele alınmamalı. 71013

Yeni rapor Muse’un bulut ortamı için ne söylüyor?

The Information’ın haberini aktaran Reuters’a göre açık, Meta’nın hata ödül programı üzerinden şirkete bildirildi. Söz konusu sorun, kullanıcıya özel bir sanal makineye—başka bir deyişle kullanıcıya ayrılmış, bulutta çalışan bir ortama—erişim sağlayabilirdi. Bu ortamda e-postalar ve dosyalar gibi veriler bulunabiliyor. 118

Mevcut haberler, açığın nasıl kullanılabileceğini ayrıntılandırmıyor. Örneğin saldırının kötü amaçlı bir bağlantı üzerinden gerçekleştiği, kullanıcının bir bağlantıya tıklaması ya da herhangi bir işlemi onaylaması gerektiği doğrulanmış değil. İletişimlerin veya açık oturumların açığa çıkıp çıkmadığı da belirtilmiyor. Bu ayrıntıları, Mac uygulamasına ilişkin ayrı bulgudan hareketle çıkarsamak doğru olmaz.

Reuters’ın haberine göre Meta, Muse içindeki güvenlik uyarısını daha belirgin hâle getiriyor. Ancak bunun alınan tek önlem olup olmadığı, temel açığın giderilip giderilmediği veya kaç kullanıcının etkilenmiş olabileceği kamuya açık haberde net değil. 1

Mac uygulamasındaki ayrı kusur nasıl işliyordu?

Wardle’ın bulgusu Muse’un macOS uygulamasıyla ilgiliydi ve kullanıcının Mac’inde yerel olarak çalışan bir kod gerektiriyordu. Haberlerde, özel macOS izinlerine sahip olmayan yerel bir uygulamanın veya komutun, dikte trafiğinin nereye gönderileceğini belirleyen belgelenmemiş bir Muse ayarını değiştirebildiği aktarılıyor. Böylece dikte edilen istemler Meta’nın hizmeti yerine başka bir adrese yönlendirilebilir, kimlik doğrulama verileri de potansiyel olarak açığa çıkabilirdi. 1013

Bu, kurbana yalnızca bir bağlantı göndererek başlatılan bir saldırı olarak tanımlanmadı: Mac’te çalışan bir sürecin bulunması gerekiyordu. Bildirilen senaryo ayrıca Muse’un dikte işlevini kullanıyordu. Meta’nın, ayarı üretim sürümlerinden kaldırarak bu Mac kusurunu giderdiği bildirildi. 710

Yapay zekâ ajanlarının geniş erişimi neden önemli?

Muse e-posta ve mesajlaşma uygulamaları gibi hizmetlere bağlanabiliyor. Mac uygulamasına dosyalar, mikrofon, kamera, konum ve takvim gibi kaynaklara erişim izni de verilebiliyor. 911 Böyle bir erişim, ajanın ele geçirilmesini daha ciddi hâle getirebilir: Saldırgan ajanın kontrolünü veya kimlik doğrulama verilerini ele geçirirse, kullanıcının önceden verdiği izinleri kötüye kullanma ihtimali doğar.

Wardle’ın yerel uygulama üzerinden gösterdiği senaryo bu genel riski örnekliyor; ancak yeni bildirilen bulut açığının nasıl kullanılacağını ya da etkisinin ne olacağını ortaya koymuyor. 710

Önemli ayrım şu: Mac’teki yerel kusur için belirli bir mekanizma tarif edildi ve açığın yamalandığı bildirildi. Daha yeni bulut erişimi raporu ise olası etkiyi ve Meta’nın uyarı değişikliğini aktarıyor; saldırı yolunu, kullanıcı etkileşimini ve temel açığın giderilip giderilmediğini açıklamıyor. 1718