Meta Muse'ta paylaşım geri döndü, eski bağlantılar değişti

Meta'nın yapay zeka ajanı Muse'ta durdurulan paylaşım özelliği, bağlantıların yenilenmesiyle tekrar kullanıma açıldı. Meta'dan David Singleton, 22 Ekim'de X üzerinden yaptığı açıklamada sorunun giderildiğini duyurdu. Daha önce paylaşılmış bir içeriğin eski adresine giden kullanıcılar ise artık belgeyi açmak yerine, güncel bağlantıyı göndericiden istemelerini söyleyen bir bildirimle karşılaşıyor.

The Verge'ün aktardığı açıklamaya göre değişiklik, düzeltmeden önce paylaşılmış "artifact" öğelerini kapsıyor. Meta bu ifadeyi Muse içinde oluşturulan veya işlenen belgeler, görseller ve benzeri dosyalar için kullanıyor. Dolayısıyla daha önce bir çalışma arkadaşına belge gönderen ya da hazırladığı içeriğin bağlantısını başka bir yerde yayımlayan kullanıcıların, paylaşım adreslerini yenilemesi gerekiyor.

Yaklaşık 6.800 bağlantı nasıl bulundu?

Sorunu ortaya çıkaran güvenlik şirketi Claroc, "GhostShares" adını verdiği araştırmasında Muse'un paylaşım adreslerini oluşturma biçimini inceledi. Araştırmacılar, sohbet başlığının rastgele bir kimlikle birlikte alt alan adına yerleştirildiğini belirledi. Bu yapı, sayfanın konusunu adresin içinde okunabilir hâlde bırakıyordu.

Claroc, ticari bir pasif DNS hizmetinde yaptığı sorguyu filtrelediğinde 6.800'den fazla paylaşım adresi buldu. Ekip bunların birkaç yüzünü açtı. İncelenen içerikler arasında bir pazarlama şirketinin şirket içi gelir değerlendirmesi ve küçük bir işletme sahibinin kredi başvurusu vardı. Bu sayfalara ulaşmak için Muse hesabıyla oturum açılması gerekmiyordu.

Buradaki teknik ayrıntı, rastgele kimliğin adresin neresine yazıldığıydı. Bağlantının tahmin edilmesini zorlaştırmak için kullanılan karakterler de başlıkla birlikte alan adında bulunuyordu. Böylece adresin tamamı DNS çözümleme sürecine giriyor, paylaşım bağlantısını daha önce almamış kişiler için de bulunabilir hâle geliyordu.

Pasif DNS, adreslerin geçmişini saklıyor

DNS, tarayıcıya yazılan alan adının hangi sunucuya yönleneceğini bulmaya yarıyor. Pasif DNS hizmetleri ise gözlemledikleri çözümleme yanıtlarını zaman bilgisiyle kaydederek geçmişe dönük sorgulanabilir veritabanları oluşturuyor. Spamhaus'un teknik açıklamasına göre bu kayıtlar alan adını, kayıt türünü, kayıt değerini ve zaman damgasını içerebiliyor.

Bu sistemler güvenlik ekipleri tarafından zararlı yazılımların kullandığı altyapıyı incelemek, şüpheli alan adlarının geçmişini takip etmek ve sahte siteler arasındaki bağlantıları görmek için kullanılıyor. Bir alan adının geçmişte hangi IP adreslerine yöneldiğinin görülebilmesi, saldırı araştırmalarında işe yarıyor. Muse olayında ise aynı kayıt mekanizması, paylaşılmış içeriklerin adreslerini ortaya çıkardı.

Normal bir bağlantıda alan adından sonra gelen sayfa yolu ile alt alan adı farklı işlevler taşıyor. DNS sorgusu, sunucuyu bulmak için alan adını kullanıyor. Muse'un eski paylaşım tasarımında içeriği tanımlayan başlık ve rastgele kimlik bu bölüme yerleştirildiğinden, bağlantıyı açmak için gereken bilgiler DNS kayıtlarına birlikte girebiliyordu.

Claroc'un 20 Ekim tarihli güncellemesi, eski alan adlarının başlıklarla birlikte pasif DNS geçmişinde kalmaya devam ettiğini belirtiyor. Meta, yenilenen bağlantıların nasıl üretildiğine ilişkin teknik ayrıntı paylaşmadı.

İlgili haberlerAvrupa kamu kurumlarında PHP alarmıOpenAI'ın internetsiz eğitiminde yapay zeka ajanı engeli aşıp bilgi aldıMeta'nın Muse ajanı Facebook ve Instagram'ı geçebilir

Meta, sohbet ile dosya paylaşımını ayırıyor

Meta'nın açıklamasıyla araştırmacıların kullandığı tanım arasında bir ayrım bulunuyor. Claroc erişebildiği sayfaları paylaşılan sohbetler olarak anlatırken Singleton, sorunun sohbet paylaşımında değil, paylaşılan artifact öğelerinin adreslerinde olduğunu söyledi. Şirketin düzeltme duyurusu da bu öğelerin eski bağlantılarının değiştirilmesine odaklanıyor.

Meta'nın yardım sayfası, artifact kapsamını daha ayrıntılı açıklıyor. Muse; PDF, DOCX, düz metin ve Markdown belgeleriyle çalışabiliyor. XLSX ve CSV tablolarını, PNG, JPEG, GIF ve WebP görsellerini destekliyor. Kod dosyalarının yanında tarayıcıda açılabilen etkileşimli araçlar ve tek sayfalık web uygulamaları da oluşturabiliyor.

Kullanıcılar bir dosya yükleyip içeriği hakkında soru sorabiliyor, özet isteyebiliyor veya mevcut belgeyi düzenletebiliyor. Sıfırdan oluşturulan dosyalar da çalışma alanına kaydediliyor. Meta'nın aynı yardım metnine göre Muse'un bu dosyaları dışarıyla paylaşması, kullanıcının paylaşımı açmasına veya ajanın talebini onaylamasına bağlı.

Bildirimden düzeltmeye uzanan süreç

Claroc, bulgularını 8 Ekim'de Meta'nın hata ödülü programına ilettiğini, araştırmasını 18 Ekim'de yayımladığını açıkladı. Ars Technica'nın 20 Ekim tarihli haberinde Meta, raporu incelerken paylaşım özelliğini durdurduğunu bildirdi. Claroc da aynı gün yeniden kontrol ettiği 40 eski paylaşımın hiçbirini açamadığını kaydetti.

Muse, Meta'nın 8 Eylül'de tanıttığı, kullanıcının buluttaki ayrı bilgisayarında çalışan bir kişisel ajan. Şirketin teknik belgesine göre e-posta ve başka hizmetlerle bağlantı kurabiliyor, tarayıcı kullanabiliyor ve dosya üretebiliyor. Dış hizmetlerde yapılacak işlemleri ve ağ erişimini denetlemek için Sentinel adlı ayrı bir izin sistemi kullanılıyor. Bu sistem, kullanıcının verdiği yetkilere göre işlemi kabul ediyor, reddediyor veya onay istiyor.

Meta, Muse'un hata ödülü programında geçerli güvenlik bildirimleri için 300 bin dolara kadar ödeme öngörüyor. Önceden gönderilmiş belge ve görsellere erişimi sürdürmek isteyenlerin, ilgili öğenin yeni bağlantısını alıcılara yeniden iletmesi gerekiyor.