Meta a versé 300 000 dollars à un chercheur pour avoir découvert une faille d’authentification qui exposait des conversations et des jetons d’accès sur des machines virtuelles utilisées pour tester son agent IA Muse. La vulnérabilité a été découverte environ quatre mois avant le lancement de Muse, le 8 septembre, et Meta affirme avoir désactivé le service concerné et corrigé le problème lors des premiers tests internes.
Cette récompense est la plus importante du programme de bug bounty de Muse, qui a versé environ 1,2 million de dollars pour 64 signalements valides issus de plus de 630 soumissions. La dernière divulgation de Meta détaille également des attaques par injection de prompts, des faiblesses du filtrage des identifiants et des vulnérabilités dans ses applications Android et Mac.
Comment la faille d’authentification de 300 000 dollars a exposé des données internes de Muse
Selon la divulgation de Meta du 2 novembre, la vulnérabilité provenait d’un contrôle d’authentification qui faisait confiance à un en-tête ajouté par un proxy HTTPS local.
Une migration du système a introduit une seconde couche de proxy, permettant à des requêtes externes de transmettre le même en-tête de confiance. Un chercheur a exploité cette faiblesse pour accéder à des conversations et à des jetons stockés sur des machines virtuelles de préproduction utilisées par les employés et les ingénieurs de Meta.
Meta affirme avoir désactivé le service, corrigé la vulnérabilité et supprimé l’hypothèse selon laquelle les requêtes provenant de la machine locale étaient par nature dignes de confiance.
L’entreprise n’a pas précisé combien de machines de test avaient été exposées, quelles autorisations étaient associées aux jetons concernés ni si ces identifiants avaient été révoqués.
Meta a également révélé quatre autres découvertes récompensées :
- 90 000 dollars pour une injection de prompts : Une page web malveillante imitait les messages de l’outil de navigation de Muse et persuadait l’agent d’effectuer des actions que ses mécanismes de protection auraient dû bloquer.
- 90 000 dollars pour le filtrage des codes d’accès : Un texte au formatage spécialement conçu contournait les filtres de masquage des e-mails destinés à protéger les codes à usage unique.
- 50 000 dollars pour une vulnérabilité Android : Une application malveillante pouvait charger une page contrôlée par l’attaquant dans une vue web privilégiée et potentiellement récupérer ses identifiants.
- 1 000 dollars pour une vulnérabilité Mac : Un attaquant ayant accès à l’ordinateur pouvait exploiter le mécanisme de mise à jour automatique de Muse pour exécuter du code avec les privilèges de l’application.
Meta affirme avoir corrigé les faiblesses signalées. Pour l’attaque visant l’outil de navigation, ses classificateurs internes détecteraient désormais la technique originale ainsi que 100 variantes.
Ces découvertes dépassent le seul comportement du modèle. Les organisations doivent également déterminer où les agents stockent les identifiants et à quelles données ils peuvent accéder. Les contrôles Defender et Purview de Microsoft permettent de mieux connaître les agents IA exécutés localement et les risques d’exposition des données.
La divulgation de Meta ne fournit pas de validation indépendante des résultats améliorés de détection ni de taux de faux positifs.
Ce qu’a constaté eWeek : trois contrôles de sécurité que les entreprises devraient prioriser
La vulnérabilité de 300 000 dollars était un échec d’authentification, et non une faille exploitant le modèle d’IA. Une migration du système a modifié les requêtes susceptibles de transporter un en-tête de confiance, permettant à un attaquant de franchir une frontière de sécurité.
Les autres découvertes ont révélé des faiblesses dans la manière dont Muse interprétait le contenu web, protégeait les identifiants et gérait les privilèges des applications.
Pour les organisations qui déploient des agents IA, trois contrôles se dégagent des vulnérabilités divulguées :
- Modifications de l’authentification et de l’infrastructure : Vérifiez l’authentification entre les différentes couches de proxy et réévaluez les hypothèses de confiance après les migrations. Les en-têtes indiquant une origine interne ne devraient pas accorder automatiquement l’accès à des conversations ou à des identifiants sensibles.
- Autorisations de l’agent et sorties des outils : Empêchez les contenus web non fiables d’autoriser des actions sensibles. Limitez les privilèges de l’agent et exigez une confirmation pour les opérations aux conséquences importantes. Les autorisations dynamiques des agents de Microsoft constituent une approche pour limiter l’accès à mesure que le niveau de risque de l’agent évolue.
- Isolation et récupération des identifiants : Déterminez où sont stockés les jetons, quelles autorisations ils confèrent et dans quel délai ils peuvent être révoqués. Les agents IA connectés à plusieurs applications métier accroissent les risques d’exposition lorsque les identifiants sont compromis. Les contrôles d’identité d’entreprise sont de plus en plus conçus pour répondre à ces enjeux d’accès.
La divulgation de Meta confirme que des chercheurs ont accédé à des conversations et à des jetons lors de tests de préproduction. Elle n’établit pas qu’une compromission a touché les utilisateurs en production.
Cependant, l’entreprise n’a pas publié le nombre de machines concernées, l’étendue des identifiants exposés ni une évaluation indépendante de ses défenses contre l’injection de prompts.
Les entreprises qui évaluent Muse devraient demander des preuves que les frontières d’authentification ont été retestées, que les identifiants sont correctement isolés et que les mécanismes de protection contre l’injection de prompts fonctionnent au-delà des attaques précises démontrées dans le programme de bug bounty.
Le programme public de bug bounty de Meta reste actif et propose jusqu’à 300 000 dollars pour les signalements admissibles, dont jusqu’à 130 000 dollars pour les attaques par injection de prompts touchant un seul utilisateur.
Par ailleurs, Meta a mis en pause la fonctionnalité de partage de Muse après que des conversations IA sensibles sont devenues accessibles au public, ce qui soulève de nouvelles questions sur la manière dont l’agent protège les informations des utilisateurs.