Wenn man eine KI-Unterhaltung mit einem Kollegen teilt, sollte sie nicht für Fremde zugänglich werden.
Das Sicherheitsunternehmen Claroc entdeckte mehr als 6.800 auffindbare Adressen für von Nutzern erstellte öffentliche Freigaben des KI-Assistenten Muse von Meta. Einige der untersuchten Unterhaltungen enthielten vertrauliche Geschäftsunterlagen und sensible persönliche Informationen.
Für IT-Teams zeigt der Vorfall, warum die Freigabe eines KI-Assistenten auch eine Prüfung seiner Freigabefunktionen erfordert: Mitarbeiter könnten Unternehmensinformationen über den vorgesehenen Empfänger hinaus veröffentlichen.
Chat-Titel tauchten in Internetaufzeichnungen auf
Wenn ein Nutzer eine Muse-Unterhaltung teilte, erstellte der Assistent eine öffentliche Webseite mit dem Titel der Unterhaltung und einer zufälligen Kennung im Hostnamen. In seiner GhostShares-Untersuchung stellte das Sicherheitsunternehmen Claroc diese Adressen auf cf.metaaiusercontent.com zurück, der Domain, auf der die Seiten gehostet wurden.
Die Forscher durchsuchten eine kommerzielle passive-DNS-Datenbank, in der beobachtete Domainabfragen erfasst werden. Eine Abfrage lieferte Tausende von Share-Hostnamen mit lesbaren Titeln und ihren zufälligen Kennungen. Stichprobenartig aufgerufene Seiten waren ohne Anmeldung zugänglich. Hinweise, die vom Crawlen durch Suchmaschinen abrieten, verhinderten diese DNS-basierte Entdeckung nicht.
Zu den zugänglichen Materialien gehörten eine nur für den CEO bestimmte Prüfung der Unternehmensumsätze und vertrauliche Notizen für ein Gespräch mit einer großen KI-Forschungseinrichtung zur Suche nach einer Führungskraft. Weitere Beispiele waren ein Kreditantrag eines Kleinunternehmens, eine Bankbetrugswarnung mit teilweise sichtbaren Kontoinformationen und ein Urlaubskalender für Mitarbeiter.
Die meisten der wenigen hundert von Claroc geprüften Unterhaltungen waren harmlos. Dennoch zeigen die sensiblen Unterlagen, die über einen gewöhnlichen Freigabebefehl offengelegt wurden, warum die KI-Governance auch die Handlungen von Mitarbeitern innerhalb freigegebener Tools abdecken muss.
Meta setzt Freigabe aus, nachdem Forscher die Offenlegung melden
Claroc übermittelte seine Erkenntnisse am 8. Oktober über Metas Bug-Bounty-Programm und stellte Beispiel-Links sowie Anweisungen zur Reproduktion der Entdeckung bereit. Die Untersuchung wurde am 18. Oktober veröffentlicht.
Am 20. Oktober setzte das Unternehmen die Funktion zum Teilen von Muse-Unterhaltungen aus. Die Sprecherin Tracy Clayton bestätigte gegenüber The Verge, dass Meta den Bericht prüfe und Änderungen daran erwäge, wie Menschen geteilte Links entdecken könnten.
Nach der Aussetzung testete Claroc 40 zuvor zugängliche Seiten erneut und stellte fest, dass keine davon geöffnet werden konnte. Die Titel der Unterhaltungen blieben in historischen DNS-Aufzeichnungen sichtbar. Meta hat nicht bekannt gegeben, wann die Freigabe wieder aufgenommen wird oder eine dauerhafte Lösung im Detail beschrieben, und Claroc erklärte, es gebe keine Hinweise darauf, dass jemand die Freigaben missbraucht habe.
Was eWeek herausfand: Datenschutzrisiken beim Teilen von Chats bestanden schon vor dem Start von Muse
Vor dem Start von Muse waren geteilte Unterhaltungen aus ChatGPT, Grok, und Claude in Suchergebnissen aufgetaucht. eWeek verglich diese früheren Vorfälle mit der offiziellen Dokumentation, um zu untersuchen, wie die Plattformen das Teilen derzeit handhaben und welche Schutzmaßnahmen Unternehmen einsetzen können.
KI-Assistent | Frühere Offenlegung | Reaktion und aktuelle Freigabekontrollen |
|---|---|---|
| Meta Muse | Öffentliche Unterhaltungslinks wurden über DNS-Aufzeichnungen entdeckt. | Freigabe am 20. Oktober ausgesetzt. |
| ChatGPT | Geteilte Unterhaltungen tauchten in Google-Suchen auf. | OpenAI entfernte die Option, Unterhaltungen über Suchmaschinen auffindbar zu machen. Geschäftslinks bleiben innerhalb des Arbeitsbereichs, während Enterprise-Administratoren die Freigabe deaktivieren können. |
| Claude | Geteilte Chats und Artefakte tauchten in Suchergebnissen auf. | Einladungen, die an bestimmte E-Mail-Adressen gebunden sind sind jetzt standardmäßig eingestellt. Freigaben für Teams und Enterprise bleiben innerhalb der Organisation, und Administratoren können sie deaktivieren. |
| Grok | Öffentlich geteilte Unterhaltungen wurden von Suchmaschinen indexiert. | Nutzer können öffentliche Links widerrufen. Administratoren von Grok Business können den Kreis der Empfänger beschränken oder die Funktion deaktivieren. |
Frühere Vorfälle hatten die Risiken öffentlicher Links zu KI-Unterhaltungen bereits gezeigt. Bei Muse erfolgte die Offenlegung über eine DNS-Entdeckung und nicht über die Indexierung durch Suchmaschinen, doch die praktischen Folgen waren ähnlich: Sensible Informationen wurden über den vorgesehenen Empfängerkreis hinaus zugänglich.
Der Vergleich macht zwei getrennte Fragen für Unternehmen deutlich: Wie leicht kann jemand eine geteilte Unterhaltung entdecken, und welche Berechtigung benötigt die Person, um sie zu lesen? Das Abraten vom Crawlen durch Suchmaschinen löst weder das Authentifizierungs- noch das Problem der Empfängerautorisierung. Prüfungen der Arbeitsbereichsmitgliedschaft oder Einladungen, die an bestimmte Konten gebunden sind, können den Zugriff beschränken, selbst wenn ein Link öffentlich wird.
Auch der Kontotyp ist wichtig. Freigabekontrollen für Unternehmen schützen Mitarbeiter, die persönliche Konten verwenden, nicht unbedingt. Teams sollten prüfen, welche Konten ihre Mitarbeiter nutzen, und testen, ob die Einschränkungen ihrer Organisation die geteilten Unterhaltungen abdecken.
KI-Unternehmen, die Freigabefunktionen einführen, sollten diese früheren Fehler untersuchen und ihre eigenen Zugriffsbeschränkungen vor der Veröffentlichung testen. Die Aussetzung der Muse-Freigabe war eine angemessene unmittelbare Reaktion. Die spätere Rückkehr der Funktion wird zeigen, wie wirksam das Unternehmen die Offenlegung behoben hat.
Nutzer und Unternehmen können mehrere Vorsichtsmaßnahmen treffen:
- Prüfen Sie zuvor geteilte Muse-Unterhaltungen und melden Sie jede Offenlegung vertraulicher Informationen.
- Ersetzen Sie offengelegte Zugangsdaten und prüfen Sie mögliche Benachrichtigungspflichten im Zusammenhang mit persönlichen Datensätzen.
- Prüfen Sie Freigabeberechtigungen und administrative Kontrollen, bevor Sie KI-Assistenten für vertrauliche Arbeit einsetzen.
Je mehr sensible Informationen Unternehmen KI-Assistenten anvertrauen, desto höher werden die Erwartungen an Anbieter, vor der Einführung nachzuweisen, dass die Datenschutzvorkehrungen getestet wurden.
Weitere KI-News: Microsoft will, dass Unternehmen KI-Agenten wie Insider behandeln, mit Berechtigungen, die geändert oder entzogen werden können, wenn ihr Verhalten riskant wird.