Meta Muse: Geteilte KI-Chats über DNS-Datenbanken auffindbar

Worum es geht

Muse ist ein neuer, universell einsetzbarer KI-Agent von Meta. Forscher der Sicherheitsfirma Claroc berichteten am Montag, dass Muse sensible Informationen preisgeben kann, wenn Nutzer Unterhaltungen über Weblinks teilen. Auf Nachfrage von Ars Technica (der Bericht erschien zuerst dort und dann bei Wired) erklärte Meta, die Teilen-Funktion sei ausgesetzt, während das Unternehmen den Bericht prüft und Änderungen erwägt.

Wie die Links auffindbar wurden

Wie viele Dienste erlaubt Muse, Suchen, Gespräche, Bilder und ähnliche Inhalte zu teilen. Dabei wird eine eindeutige URL erzeugt, über die jeder die Seite aufrufen kann. Normalerweise enthalten solche Adressen eine lange, kaum erratbare Zeichenfolge, damit Unbefugte sie nicht finden. Muse macht das im Prinzip auch.

Das Problem liegt in der Konstruktion der Adresse: Alle Links nutzen die Domain cf.metaaiusercontent.com, und der Gesprächstitel steht zusammen mit einer langen Zeichenfolge in der Subdomain, also vor der eigentlichen Domain. Vereinfachte Beispiele aus dem Bericht sind home-sale-budget-9f21c8a3.cf.metaaiusercontent.com oder loan-application-draft-a4c9e2.cf.metaaiusercontent.com. Hätte der Titel im Pfad hinter der Domain gestanden, wäre er nicht öffentlich in DNS-Daten gelandet.

Passive DNS als Einfallstor

Das DNS ordnet Domainnamen IP-Adressen zu. Passive-DNS-Dienste speichern solche Zuordnungen über die Zeit, ebenso Nameserver- und Mailserver-Einträge. Sie sammeln die Antworten über Sensoren an rekursiven DNS-Resolvern oder anderer Infrastruktur. Sobald jemand einen Share-Link anklickt, wird die Auflösung der Subdomain aufgezeichnet und ist in einer durchsuchbaren Datenbank abrufbar. Etliche kommerzielle Dienste bieten das an.

Claroc konnte so 6.800 Links aufzählen. Die Forscher nennen das Phänomen „GhostShares“: Seiten, die sich für Menschen öffnen, denen der Link nie gegeben wurde und die ihn selbst finden können. Sie betonen, dass viele KI-Assistenten per öffentlichem Link teilen; Muse sei nur deshalb leicht zu durchsuchen, weil der Titel in der Webadresse steckt.

Was die Forscher fanden

Nach dem Öffnen einiger hundert Links stießen sie auf klar nicht öffentliche Inhalte, unter anderem:

• Notizen eines Kandidaten zur Vorbereitung auf ein vertrauliches Gespräch mit einem führenden KI-Labor, mit Namen des internen Ansprechpartners und Termin
• eine interne Umsatzauswertung eines nationalen Marketingunternehmens, adressiert an den CEO
• ein Kreditantrag eines Kleinunternehmers mit Betrag
• eine To-do-Liste mit Bankbetrugswarnung, Teilkontonummer, Betrag und Uhrzeit
• ein interner Performancebericht eines Immobilieninvestors mit zwei Adressen und genauen Rendite-, Einnahme- und Hypothekenzahlen
• ein Jahresurlaubskalender einer Belegschaft mit Dutzenden Namen

Die Forscher schrieben: „Wenn man uns vorher gefragt hätte, hätten wir vermutet, dass das Sammeln echten Aufwand bedeutet. Es brauchte eine Abfrage.“

Metas Reaktion

Meta erklärte, man habe das Bug-Bounty-Programm für Muse geöffnet, damit Forscher verschiedene Szenarien melden. Nutzer könnten bestimmte Muse-Artefakte teilen, wodurch eine Seite entstehe, die jeder mit dem Link aufrufen kann. Man habe die Funktion pausiert und prüfe Änderungen daran, wie diese Links entdeckt werden können. Claroc-Mitgründer und CTO Asaf Aprozper sagte, er habe den Fund am 8. Oktober über das Bug-Bounty-Programm gemeldet und zusätzlich über LinkedIn versucht, Meta-Mitarbeiter zu erreichen; Antwort habe er nicht erhalten.

Hintergrund: Muse und das Vertrauensversprechen

Muse stieg schnell in die Spitzenplätze von Apples App Store auf. Der Assistent füllt eigenständig Formulare aus, bucht Termine, kauft ein und erstellt Dokumente. Dafür braucht er Zugriff auf einen Großteil der Konten der Nutzer. Meta-Chef Mark Zuckerberg hatte Muse im Vormonat als „von Grund auf für Privatsphäre und Sicherheit gebaut“ bezeichnet.

Schon drei Wochen nach dem Start hatte der macOS-Sicherheitsexperte Patrick Wardle eine Zero-Day-Schwachstelle gefunden (eine Lücke, die dem Hersteller zum Zeitpunkt der Entdeckung unbekannt war). Sie erlaubte jeder anderen App auf demselben Gerät, die vollständige Kontrolle über das Muse-Konto zu übernehmen. Meta spielte den Schweregrad herunter, weil eine Ausnutzung ein bereits kompromittiertes Gerät voraussetze. Wardle hatte aber gezeigt, dass ein einfacher ClickFix-Angriff (Nutzer werden dazu gebracht, selbst schädliche Befehle auszuführen) genügt, um ein Konto zu übernehmen; darauf ging Meta laut dem Bericht nicht ein.

Einordnung

Der Fall zeigt, dass kleine Designentscheidungen bei Links große Datenschutzfolgen haben können, besonders bei einem Agenten, der privilegierten Zugriff auf Konten hat. Für Nutzer heißt das: Mit der Pausierung besteht dieses konkrete Risiko vorerst nicht mehr, doch bereits erzeugte Links könnten weiterhin im Umlauf oder in DNS-Archiven stehen; dazu macht die Quelle keine Angaben. Offen bleibt, ob und wie Meta die Links umbaut und ob Daten bereits ausgenutzt wurden. Zusammen mit der Wardle-Lücke stellt der Vorfall die Frage, ob Muse das Vertrauen verdient, das es verlangt. Bemerkenswert ist auch die ausgebliebene Reaktion auf die Meldung über das Bug-Bounty-Programm – Meta äußerte sich erst auf Presseanfrage.