Meta收到风险通报后暂停Muse对话分享功能

在Claroc研究人员报告相关发现后，Meta暂停了旗下人工智能智能体Muse的链接分享功能。该公司在回应Ars Technica时表示，正在审查这份通报，并考虑调整这些链接被发现的方式。这项暂停措施是该公司针对个人及工作内容暴露所宣布的应对行动。

据Claroc称，研究人员枚举出了6,800个分享链接。他们打开了其中几百个，并称发现了一些显然仅供小范围人员查看的信息，包括机密面试准备、内部营收审查、贷款申请以及员工休假日程。因此，发现的链接数量不能与实际查看过的对话数量混为一谈，也不能被视为受影响人数的统计。

所述问题与地址的构建方式有关。Muse将对话标题放在子域名中，并附上一长串字符。然而，DNS响应可以被观察到，并保存在可供查询的历史数据库中。根据Ars Technica发布的解释，收件人打开链接时可能会留下痕迹，使他人随后能够通过这些服务找到该地址。

因此，一串难以猜测的字符并不足以让链接难以被发现。嵌入地址的标题还提供了有关分享内容的线索。这一区别至关重要：任何持有链接的人都能访问的页面，其隐私性也取决于链接本身是否隐蔽。在所述案例中，子域名的设计恰恰削弱了这种隐蔽性。

Claroc称，已于十月8日向Meta的漏洞研究计划提交研究结果，但其联系未获回应。Meta则确认，在审查期间暂停了这项功能。现有信息无法确定在这项措施实施前，有多少第三方可能查看过这些对话。

这起事件提示人们，应将分享的隐私性视为整个技术流程的一项属性来审视。对于接收敏感文档和交流内容的助手，需要结合地址被发现的可能性来评估传递的便利性。已宣布的暂停措施回应了被报告的机制问题，但仅凭这项措施，无法说明此前访问的范围。