Muse — новый ИИ-агент Meta, который сам заполняет формы, бронирует, покупает и ради этого получает доступ почти ко всем аккаунтам пользователя. Цукерберг месяц назад называл его «построенным с нуля ради приватности и безопасности». Исследователи из Claroc показали, что расшаренные из него разговоры находятся одним поисковым запросом. Meta функцию приостановила.

Как это работало

Ссылки «поделиться» в Muse выглядели так: loan-application-draft-a4c9e2.cf.metaaiusercontent.co.... Случайная строка в адресе была, но название разговора Meta положила прямо в поддомен, а не в путь URL. Как только получатель открывал ссылку, поддомен попадал в базы пассивного DNS — коммерческие сервисы, которые записывают запросы к доменам и дают по ним искать. Один запрос — и на руках список ссылок с говорящими названиями.

Так Claroc собрала 6800 ссылок. Открыв несколько сотен, исследователи нашли заметки кандидата к конфиденциальному собеседованию в ИИ-лаборатории, внутренний отчёт о выручке для CEO, заявку на кредит для малого бизнеса, банковское уведомление о мошенничестве с частью номера счёта, отчёт инвестора с адресами и цифрами по ипотеке и график отпусков всего офиса.

«Если бы нас спросили заранее, мы бы решили, что собрать это — серьёзная работа. Хватило одного запроса», — Claroc.

Технический директор Claroc Асаф Апрозпер сообщил о проблеме через баг-баунти Meta ещё 8 октября — ответа не было. Функцию отключили только после вопросов журналистов Ars Technica. Это не первая дыра Muse: через три недели после запуска исследователь Патрик Уордл нашёл уязвимость, позволявшую любому приложению на том же Mac захватить аккаунт Muse.

Классика жанра

Кнопка «поделиться» у ИИ-чатов течёт регулярно, и каждый раз по-новому:

— 2023, Google Bard: расшаренные диалоги начали появляться в поисковой выдаче Google.

— Июнь 2025, Meta AI: в приложении была лента Discover, куда люди публиковали свои переписки с ботом, не понимая, что их видят все.

— Июль 2025, ChatGPT: галочка «Make this chat discoverable» мелким шрифтом отправляла чаты в индекс Google, Fast Company насчитала больше 4500 таких ссылок. OpenAI убрала функцию, назвав её «недолгим экспериментом».

— Август 2025, Grok: в Google нашлось больше 370 тысяч разговоров с ботом xAI, вместе с загруженными файлами.

Разница только в механике: поисковый индекс, публичная лента, теперь DNS. Итог один — то, что человек отправил одному адресату, видят все.

Почему это важно

Обычный чат-бот хранит то, что вы ему написали. Агент вроде Muse хранит то, что он сделал от вашего имени: документы, заявки, переписку из подключённых аккаунтов. Muse всего за 40 дней набрал 10 млн загрузок в США — масштаб утечек у агентов будет другим. Простое правило: ссылка «поделиться» у любого ИИ-сервиса — это публикация, а не личное сообщение.

* Meta признана экстремистской организацией, её деятельность запрещена на территории Российской Федерации.

Источники: Ars Technica, Engadget, TechCrunch

НЕЙРО-ПУШКА ● Новости и обзоры нейросетей

27–28 сентября IT-система сети подверглась атаке — у клиентов в доступе могли оказаться имена, телефоны, адреса, электронная почта, даты рождения и составы заказов. Коммерсантъ, Фонтанка

По словам «Додо», платёжные данные в системе не хранятся, поэтому они в безопасности. Компания сообщила, что заблокировала доступ злоумышленников к ресурсам и уведомила Роскомнадзор. Пользователей могут разлогинить как одну из защитных мер.

Однако связка «имя + телефон + точный адрес + обычный заказ» позволяет сделать сообщение от мошенника убедительнее. Поэтому в ближайшее время будьте бдительнее к сообщениям (якобы) от Додо.

Китайская Z.ai, та самая компания за моделями GLM, попалась на том, что её десктопный ассистент ZCode при каждом входе паковал рабочий каталог разработчика целиком и отправлял в облако Alibaba. Без спроса, без уведомления и без работающей кнопки «выключить».

Что именно уезжало

Разобрался в происходящем исследователь под ником ferstar. На его машине ZCode собрал из коммерческого репозитория на 345,5 МБ архив в 313 МБ — 42 411 файлов. Исходники и документация составили в нём меньшую часть: 86,6% объёма пришлось на каталог .git, то есть на полную историю правок. Git LFS — 196,1 МБ, объекты Git — ещё 102,2 МБ. Уезжал не код, который вы показываете заказчику, а весь след разработки: каждый коммит, каждая откаченная ветка, каждый случайно закоммиченный и потом удалённый ключ.

За одну сессию клиент сделал 62 захвата рабочего каталога. Счётчик неудачных отправок в момент наблюдения перещёлкнул с 564 на 565 — то есть попытки шли непрерывно. Удалить готовый архив вручную не помогало: ZCode делал новую копию и возобновлял загрузку.

Переключатель, который ничего не выключал

В настройках есть тумблер Repo Snapshot Indexing, и выглядит он как согласие на отправку. На деле он управлял только индексацией снимка на сервере — упаковку рабочего каталога и саму заливку он не останавливал. Политика конфиденциальности ZCode описывала сбор того, что пользователь отправляет в промпте, и об автоматических снимках рабочего пространства не упоминала вовсе.

Ключ остался у компании

Клиент запрашивал у zcode.z.ai учётные данные для хранилища, получал в ответ RSA-ключ, шифровал архив по AES-256-CTR, оборачивал симметричный ключ через RSA-OAEP-SHA256 и заливал результат в Alibaba Cloud OSS. Приватный ключ живёт на сервере Z.ai. Ни разработчик, ни сам клиент ZCode открыть загруженный архив уже не могут — расшифровать его способна только сама компания. Это переворачивает обычный порядок вещей: обещание «мы всё удалили» проверить невозможно в принципе, потому что содержимое собственного репозитория его владельцу больше не читается.

Реакция

Z.ai извинилась, заявила, что отправка файлов без согласия исправлена, а загруженные данные уничтожены и никогда не использовались для обучения моделей. Компания выложила исходники ZCode в открытый доступ, пообещала запустить процесс приёма сообщений об уязвимостях и платить за находки вознаграждение. Акции на торгах падали почти на 6%, но день закрыли ростом на 1,8%.

Осадок в другом. Вайб-кодинг устроен так, что инструменту отдают весь проект целиком — иначе он бесполезен. Доверие здесь не бонус, а условие работы, и проверить его у закрытого десктопного клиента нечем. ZCode оказался официальным харнессом для GLM-5.3, продуктом первого ряда, а не поделкой энтузиаста — и всё равно грузил чужие гит-истории в чужое облако, пока один человек не полез смотреть, что лежит у него в локальной папке.

Источники: Tom's Hardware, The Standard, Runtimewire

НЕЙРО-ПУШКА ● Новости и обзоры нейросетей