Salut les Geekz, j’espère que vous allez bien ? Vous connaissez la petite phrase « ne partagez ce lien avec personne » ? Eh bien, avec une IA qui manipule des données personnelles, mieux vaut vérifier ce que « privé » signifie vraiment. Des chercheurs ont retrouvé plus de 6 800 liens de conversations partagées avec Meta Muse. Et le plus inquiétant, c’est la facilité avec laquelle ces liens ont été découverts.
Plus de 6 800 liens retrouvés : que s’est-il passé ?
La société de cybersécurité Claroc a mis en évidence un problème dans la fonctionnalité de partage de conversations de Muse, l’assistant IA de Meta. Les conversations partagées étaient accessibles au moyen de liens publics dont le nom de domaine contenait notamment le titre de l’échange et un identifiant aléatoire.
Le souci ? Les noms de domaine consultés peuvent se retrouver dans des bases de données de DNS passif. Une recherche dans ces historiques a permis aux chercheurs d’identifier plus de 6 800 adresses. Certains échanges accessibles comportaient des informations professionnelles ou personnelles sensibles.
Attention à la nuance : 6 800 liens ne signifient pas 6 800 conversations confidentielles compromises. Le problème est surtout que des pages destinées à être partagées avec un public limité pouvaient être découvertes beaucoup plus facilement que prévu.
Un identifiant aléatoire ne suffit pas toujours
Sur le papier, un lien contenant une longue suite de caractères semble impossible à deviner. Mais si l’adresse complète se retrouve enregistrée dans un service consultable, son caractère aléatoire ne protège plus grand-chose.
Le DNS est souvent comparé à l’annuaire d’Internet. Quand un nom de domaine est résolu, des systèmes peuvent conserver la trace de cette résolution. Dans ce cas, la structure des adresses de partage rendait possible leur découverte dans des historiques DNS. C’est un problème de conception, pas la preuve qu’un pirate aurait forcé les comptes des utilisateurs.
Meta suspend la fonctionnalité
Après la publication des recherches, Meta a mis en pause le partage de conversations de Muse, le temps d’examiner le fonctionnement du dispositif et d’éventuels changements.
Cette réaction ne fait pas disparaître magiquement les informations qui auraient déjà été consultées ou copiées. Elle limite en revanche la poursuite du problème pendant l’enquête.
Ce que les utilisateurs peuvent en retenir
Un assistant IA capable de lire vos fichiers, vos échanges ou vos documents professionnels devient particulièrement sensible. Quelques précautions méritent de devenir des réflexes : éviter de partager des conversations contenant des secrets, vérifier les autorisations accordées à l’agent et considérer qu’un lien accessible sans connexion peut potentiellement circuler au-delà de son destinataire.
Pour les bidouilleurs et administrateurs de serveurs, cette histoire rappelle aussi une règle de base : une URL difficile à deviner n’est pas un mécanisme d’authentification. Quand des données sont réellement privées, elles doivent être protégées par des contrôles d’accès appropriés.
Le mot de la fin
On nous promet des assistants toujours plus puissants, capables d’organiser notre vie numérique. Très bien. Mais avant de leur donner les clés du camion, il faudrait s’assurer que la porte du garage ferme correctement. Bretzel de merle, ce n’est quand même pas trop demander !
Et vous, les Geekz ? Vous avez déjà partagé une conversation IA contenant des informations que vous ne voudriez pas voir circuler ?
Laisser un commentaire