Meta Muse süni intellekt köməkçisində ciddi təhlükəsizlik boşluğunu bağladı

    “Meta” “Mac” kompüterləri üçün hazırladığı “Muse” süni intellekt köməkçisində ciddi təhlükəsizlik boşluğunu təcili yeniləmə ilə bağlayıb. “Sıfır gün” adlanan bu problem aşkarlanana qədər şirkətə məlum olmayıb. Təhlükəsizlik tədqiqatçısı Patrick Wardle boşluğu bazar ertəsi açıqlayıb, “Meta” da qısa müddət sonra düzəliş yayımlayıb. “Muse” 8 sentyabrda istifadəyə verilib və cəmi 2 həftə sonra ilk ciddi təhlükəsizlik problemi ilə üzləşib. Köməkçi hələlik yalnız “Mac” cihazlarında işləyir.

    “Muse” elektron poçt göndərmək, səyahət sifariş etmək, məhsul almaq və istifadəçinin məqsədlərini izləmək üçün hazırlanıb. Buna görə köməkçi elektron poçt, təqvim, sosial media və “WhatsApp” kimi tətbiq və hesablara geniş giriş alır. Boşluq səsli diktə funksiyasında aşkarlanıb. Danışıq cihazda deyil, şirkətin serverlərində mətnə çevrilirdi. Araşdırma zamanı “endo_voyager_dictation_endpoint” adlı gizli parametr tapılıb. Bu parametr səs yazısının göndərildiyi server ünvanını dəyişməyə şərait yaradırdı.

    Hücum üçün səsli diktə açıq olmalı, köməkçi başqa tətbiqlərə qoşulmalı və cihaz əvvəlcədən ələ keçirilməli idi. Zərərli kod kompüterdəki parametri dəyişərək səs yazısını hücumçunun serverinə yönəldə bilərdi. Səs yazısı ilə yanaşı, “Muse” hesabına giriş verən autentifikasiya tokeni, yəni rəqəmsal giriş açarı da göndərilirdi. Hücumçu bu açarı ələ keçirdikdən sonra köməkçinin icazələrindən yararlanıb hesablardakı məlumatları çıxara və tətbiqləri idarə edə bilərdi.

    Wardle boşluğu “not-a-mused” adlandırıb. Onun sınaq hücumlarında “Muse” ilə zərərli faylları kompüterin yaddaşına yazmaq və kameradan şəkil çəkmək olub. Bir çox halda istifadəçiyə heç bir xəbərdarlıq göstərilməyib. “Meta” bunun uzaqdan edilən hücum olmadığını və real riskin aşağı qaldığını deyib. Problem server ünvanını dəyişən parametrin silinməsi ilə aradan qaldırılıb.

    Tədqiqatçının fikrincə, cihazda əvvəlcədən zərərli kodun işə salınması tələbi belə hücumu mümkünsüz etmir. İstifadəçi “ClickFix” üsulu ilə aldadılıb zərərli əmri köçürərək öz kompüterində işə sala bilər. “Amazon” ayrıca “Muse” köməkçisinin mağazada istifadəçilər adından məhsul almasını dayandırıb. Şirkətin narazılığı əvvəlcədən məlumat verilməməsi, köməkçinin özünü tanıtmaması və hesab məlumatlarının necə işlənməsi ilə bağlıdır.

    Ayrıca yayılan təxmini hesablamaya görə, “Muse” mobil tətbiqi ilk 12 gündə “ChatGPT” tətbiqinin ABŞ və Kanadadakı eyni dövr üzrə yüklənmə sayını keçib. Bu, tətbiq mağazalarının rəsmi rəqəmi deyil və təxmini hesablamaya əsaslanır. “Meta” səhmləri bazar ertəsi 11 faiz bahalaşıb və bu artım köməkçinin sürətli başlanğıcı ilə eyni vaxta düşüb.