Meta, Muse'ta Veri Sızıntısı Çıkınca Paylaşımı Durdurup Tekrar Açtı

Meta'nın yapay zeka ajanı Muse, geçen hafta kısa süreliğine paylaşım özelliğini kapattı ve bugün yeniden açtı. Kulağa rutin bir bakım işlemi gibi gelebilir ama altında yatan hikâye öyle değil: güvenlik araştırmacıları, Muse üzerinden paylaşılan özel içeriklerin internette kelimenin tam anlamıyla aranıp bulunabildiğini ortaya çıkardı.

Peki ama bu nasıl mümkün oldu? Claroc'taki araştırmacılara göre Muse'ta paylaşılan "artifact"lar -yani ajanın ürettiği belge, görsel gibi iç öğeler- için oluşturulan web adresleri, konuşmanın başlığından türetiliyor ve bu adresler herkese açık DNS (alan adı sistemi) kayıtlarına yazılıyordu. Başka bir deyişle, bir konuşmanın başlığını tahmin edebilen ya da sistemi tarayan biri, hiçbir yetkilendirmeye ihtiyaç duymadan o içeriğe ulaşabiliyordu. Araştırmacılar bu yolla bir pazarlama şirketinin iç gelir değerlendirmesine ve küçük bir işletme sahibinin kredi başvurusuna eriştiklerini söylüyor.

Ars Technica'nın aktardığına göre Meta, durumu kendisine bildirdikten sonra paylaşım özelliğini geçici olarak devre dışı bıraktı. Bugün ise Meta'nın ürün sorumlusu David Singleton, X üzerinden yaptığı açıklamada "altta yatan sorun artık çözüldü, paylaşım tekrar açık" dedi. Singleton'a göre mesele sohbet paylaşımında değil, özellikle artifact'ların URL yapısındaydı. Daha önce paylaşılmış içerikler yeni bir adres aldı; eski linke tıklayanlar artık içeriği paylaşan kişiden yeni linki istemeleri gerektiğini söyleyen bir uyarıyla karşılaşıyor.

Bu Ne Anlama Geliyor?

Meta'nın açıklaması teknik olarak dürüst görünüyor ama eksiklerle dolu. Şirket "sorun çözüldü" diyor ama bu açığın ne kadar süredir var olduğunu, kaç kullanıcının içeriğinin fiilen dışarıdan erişilebilir hale geldiğini açıklamıyor. Bir finans belgesi ya da kredi başvurusu gibi hassas içeriklerin internette aranabilir olması, basit bir "arayüz hatası"ndan çok daha ciddi bir veri koruma sorunu — ve bu ölçekte bir sorunun kapsamını belirsiz bırakmak, şeffaflıktan çok kriz yönetimine benziyor.

Asıl rahatsız edici kısım şu: konuşma başlığını URL'ye gömüp bunu genel DNS'e yazmak, temel güvenlik mühendisliğinin "tahmin edilemezlik" ilkesine doğrudan aykırı. Bu bir gözden kaçma değil, üretim öncesi test edilmemiş bir tasarım tercihi gibi duruyor. Üstelik bu haber, Muse'un ABD'de 10 milyon indirmeye ulaştığı duyurusunun hemen ardından geldi — hızla büyütülen bir ürünün altyapısında bu tür temel bir açığın bulunması,