Meta’nın Muse yapay zekâ ajanı, kullanıcıların özel sohbetlerini hassas kişisel bilgilerini açığa çıkarabilen güvenlik sorunuyla gündeme geldi. Claroc güvenlik araştırmacıları, aracın ım özelliği üzerinden oluşturulan 6.800’den fazla bağlantıyı inceleyerek kurumsal gelir belgeleri, banka işlem kayıtları kredi başvuruları gibi gizli bilgilere erişti. araştırmanın ardından söz konusu özelliği devre dışı bırakırken Muse’un kullanıcı gizliliğine ilişkin güvenlik tartışmaları yeni boyut kazandı.
Muse ım Bağlantıları Özel Sohbetleri Açığa ÇıkardıMeta CEO’su Mark Zuckerberg, Muse yapay zekâ ajanının kamuya sunulması öncesinde ürünün gizlilik güvenlik odaklı geliştirildiğini savunmuştu. Ancak siber güvenlik şirketi Claroc tarafından ortaya çıkarılan açık, kullanıcıların tığı içeriklerin beklenmedik biçimde üçüncü kişiler tarafından görüntülenebildiğini gösterdi.
Ars Technica’nın aktardığı araştırmaya göre Muse, kullanıcıların sohbet kayıtlarını veya içeriklerini mak istemesi durumunda özel web bağlantıları oluşturuyor. Bağlantılar, yapay zekâ tarafından hazırlanan sohbet başlığının yanı sıra rastgele karakterlerden oluşan dize içeriyor. Araştırmacılar, bağlantıların internette ziyaret edilen adresleri kaydeden veri kümelerinde bulunabilmesinden yararlanarak farklı kullanıcılara ait içeriklere ulaştı.
Araştırma ekibi, bağlantıların tahmin edilmesini gerektiren karmaşık saldırı gerçekleştirmek yerine, herkese açık bağlantı kayıtlarını tarayarak ilgisiz sohbetlere erişti. Claroc araştırmacıları, önceden böyle veri kümesini toplamanın ciddi çaba gerektireceğini düşündüklerini, ancak tek sorgunun yeterli olduğunu belirtti.
Araştırmacıların incelediği Muse sohbet kayıtları, yalnızca gündelik konuşmalardan oluşmadı. Ars Technica’nın haberinde, bağlantılar aracılığıyla çeşitli hassas belgelerin görüntülenebildiği aktarıldı.
Ortaya çıkan içerikler arasında bilgiler yer aldı:
- Şirketlerin gelirlerine ilişkin belgeler
- Kredi başvurularına ait kayıtlar
- Banka işlemlerinin ayrıntıları
- Kullanıcıların gelir bilgileri
- iş yerinin çalışan izin takvimi
Söz konusu bulgular, yapay zekâ araçlarının ım özelliklerinde bağlantı güvenliğinin ne kadar önemli olduğunu ortaya koydu. Kullanıcılar, sohbeti belirli kişiyle mak amacıyla oluşturulan bağlantının yalnızca hedeflenen alıcı tarafından görülebileceğini düşünebilir. Ancak bağlantıların başka veri kümelerinde listelenmesi, hassas içeriklerin daha geniş kitleye ulaşmasına zemin hazırlayabilir.
Meta, Ars Technica’ya yaptığı açıklamada sorunun ardından ilgili özelliği kapattığını bildirdi. Ancak açıklamada, araştırmacıların eriştiği bağlantılardaki bütün içeriklerin ne ölçüde etkilendiğine veya kaç kullanıcının risk altında bulunduğuna ilişkin ayrıntılı sayı ılmadı.
Bağlantıların rastgele karakterler içermesi, tek başına gizlilik garantisi sağlamadı. Araştırmanın ortaya koyduğu temel sorun, bağlantıların dışarıdan erişilebilir kayıtlar üzerinden bulunabilmesi kullanıcıların sohbet içeriklerinin beklenmedik şekilde görüntülenebilmesiydi. Dolayısıyla güvenli ım sistemi, yalnızca zor tahmin edilen adreslere değil, erişim denetimlerine bağlantıların nasıl indekslendiğine ilişkin önlemlere ihtiyaç duyuyor.
Meta’nın özelliği devre dışı bırakması, tespit edilen erişim yolunu kapatmaya yönelik adım niteliği taşıyor. Bununla birlikte, daha önce oluşturulmuş bağlantıların durumu olayın kullanıcılar üzerindeki kapsamı hakkında ek bilgi verilmesi, güvenlik riskinin daha net değerlendirilmesine yardımcı olabilir.
Muse’un gizlilik konusundaki sorunları, yalnızca ım bağlantılarıyla sınırlı kalmadı. Daha önce ortaya çıkan başka iddiaya göre yapay zekâ ajanı, kullanıcıların arkadaşları aile üyeleri hakkında ayrıntılı dosyalar tutuyordu. İddiaya konu olan dahili talimatın, kullanıcının hayatındaki her kişi için ayrı sayfa oluşturulmasını istediği öne sürüldü.
Kişisel ilişkiler hakkında sürekli bilgi biriktiren yapay zekâ sistemi, kullanıcı deneyimini kişiselleştirme amacı taşısa bile hassas verilerin kapsamı saklanma biçimi konusunda soru işaretleri doğurabilir. ım bağlantılarındaki açık tartışmaya teknik boyut ekleyerek erişim denetimi, veri saklama kullanıcı onayı gibi konuları öne çıkardı.
Muse örneği, yapay zekâ gizliliğinin yalnızca modelin hangi bilgileri öğrendiğiyle sınırlı olmadığını gösteriyor. Sistemlerin oluşturduğu bağlantılar, tuttuğu kullanıcı kayıtları verilerin dış hizmetlerle etkileşimi güvenlik değerlendirmesinin parçası olarak ele alınmalı. Meta’nın sonraki adımları, şirketin hem ım altyapısındaki riskleri hem kişisel verilerin işlenmesine ilişkin kaygıları nasıl yöneteceğini belirleyecek.
