Meta wypłaciła 1,2 mln dolarów nagród za luki w agencie AI Muse

Meta wypłaciła około 1,2 mln dolarów nagród za błędy w Muse, agencie AI, który działa w imieniu użytkownika w poczcie, kalendarzu, komunikatorach i innych kontach. Opisane luki zostały naprawione. Z ponad 630 zgłoszeń uznano 64. Najwyższa nagroda, 300 tys. dolarów, dotyczyła błędu uwierzytelniania. Nagłówek dodawany przez lokalne proxy HTTPS był traktowany jako dowód zaufanego źródła. Po migracji doszła druga warstwa proxy i ten sam nagłówek mogły nieść żądania z zewnątrz. Badacz dostał się do rozmów i tokenów na testowych maszynach pracowników Meta. Firma wyłączyła usługę, poprawiła błąd i przestała ufać lokalnej maszynie.

Kogo dotyczy

Użytkowników agenta Muse, uruchomionego publicznie 8 września. Każdy z nich dostaje własną maszynę wirtualną. Po 90 tys. dolarów trafiło za stronę, która przy streszczaniu podszywała się pod komunikaty narzędzia przeglądania, oraz za formatowanie przemycające jednorazowe kody przez filtr poczty. 50 tys. dolarów dostał błąd aplikacji na Androida.