Meta'ning yangi Muse AI yordamchisida jiddiy zero-day zaifligi aniqlandi
Meta kompaniyasi tomonidan yaqinda taqdim etilgan Muse sun'iy intellekt yordamchisida xavfli zero-day zaifligi aniqlandi. Ushbu zaiflik tufayli mahalliy ilovalar va terminal buyruqlari foydalanuvchining autentifikatsiya tokenini qo'lga kiritib, tizim ustidan to'liq nazorat o'rnatishi mumkin bo'lgan. Muammoni macOS xavfsizligi bo'yicha mutaxassis Patrik Uordl topgan bo'lib, uning yordamida yashirincha rasmga olish va fayllarni yozish imkoniyati ko'rsatib berildi. Shu bilan birga, Amazon kompaniyasi o'z qoidalariga zid ekanini aytib, Muse agentini o'z platformasida blokladi. Meta mazkur xavfsizlik kemtigini bartaraf etuvchi tezkor yangilanish chiqarganini ma'lum qildi.
Meta asoschisi Mark Sukerberg Muse nomli yangi AI yordamchisining maxfiylik va xavfsizlikka to'liq moslab qurilganini ta'kidlagan edi. Biroq tizimda topilgan jiddiy zero-day zaifligi bu da'volarga shubha uyg'otdi. Agent foydalanuvchi nomidan xaridlarni amalga oshirish, uchrashuvlarni rejalashtirish, xabarlar yuborish va macOS tizimidagi mikrofon, kamera kabi cheklangan resurslarga to'g'ridan to'g'ri kirish imkoniyatiga ega bo'lgan.
Zaiflikni macOS xavfsizligi bo'yicha taniqli ekspert Patrik Uordl aniqladi. Ma'lum bo'lishicha, dasturdagi xatolik tufayli har qanday mahalliy dastur yoki terminal buyrug'i Muse yordamchisining ovozni matnga aylantirish (transkripsiya) server manzilini o'zgartira olgan. Natijada xakerlar foydalanuvchining autentifikatsiya tokenini o'z serverlariga yo'naltirib, agent vakolatlaridan to'liq foydalanish imkoniyatiga ega bo'lishgan.
Uordl ushbu zaiflik orqali foydalanuvchiga bildirmasdan veb-kamera orqali suratga olish va xavfli fayllarni yuklash mumkinligini amalda isbotlab berdi. Ekspertning ta'kidlashicha, Meta ishlab chiquvchilari macOS'ning qurilma ichidagi xavfsiz transkripsiyasidan foydalanish o'rniga, barcha ma'lumotlarni bulutga yuborishni tanlagani bu xavfni yuzaga keltirgan.
Ushbu hodisa ortidan Amazon kompaniyasi ham foydalanuvchilarga saytda xarid qilish uchun Muse'dan foydalanishni taqiqlab qo'ydi. Amazon agent uchinchi tomon ilovasi sifatida xizmat ko'rsatish shartlarini buzayotganini va mijozlar xavfsizligini ta'minlash maqsadida Meta'dan platformani qo'llab-quvvatlashni to'xtatishni talab qilganini bildirdi.
Meta ma'lumot e'lon qilinganidan 12 soat o'tib, zaiflikni bartaraf etuvchi tezkor dasturiy tuzatish (hotfix) chiqarganini ma'lum qildi. Kompaniya bu masofaviy buzib kirish emasligini aytgan bo'lsa-da, keng vakolatlarga ega AI agentlarning amaldagi xavfsizlik darajasi soha mutaxassislari orasida jiddiy savollarni keltirib chiqarmoqda.
Tizimga chuqur integratsiya qilingan va keng vakolatlarga ega AI agentlarni ishlab chiqishda mahalliy xavfsizlik choralari va ruxsatnomalar boshqaruviga qat'iy e'tibor qaratish zarurligini ko'rsatadi.