Meta AI-lekkasje avslørte private meldinger grunnet sikkerhetsfeil

En Meta AI-lekkasje har avslørt en alvorlig sårbarhet i Metas chatbot-system. I en kort periode kunne brukere se andre personers prompt og AI-genererte svar – alt på grunn av en usikker bakend-sårbarhet.

Meta har siden utbedret problemet, men cybersikkerhetseksperter advarer om at denne feilen er en påminnelse til alle selskaper som tilbyr AI-chatbot-tjenester.

Hvordan sårbarheten fungerte

Sandeep Hodkasia, grunnlegger av sikkerhetstestingsfirmaet AppSecure, oppdaget problemet i desember 2024. Mens han eksperimenterte med funksjonen for regenerering av prompt i Meta AI, analyserte han nettverkstrafikken og la merke til noe uvanlig.

Når en bruker endret en prompt, tildelte Metas bakend et unikt nummer – men tallet var forutsigbart. Ved å endre det manuelt kunne Hodkasia hente frem data fra andre brukere – inkludert både prompt og svar.

Meta sitt system kontrollerte ikke om den som ba om dataene faktisk hadde tilgangsrettigheter.

Meta svarer

Hodkasia rapporterte sårbarheten ansvarlig til Meta den 26. desember. Selskapet fikset feilen innen 24. januar og belønnet ham med en bug bounty på 10 000 dollar.

En talsperson for Meta bekreftet at problemet var løst og sa at det ikke finnes bevis for at feilen ble utnyttet. Likevel var eksponeringen lang nok til å stille spørsmål ved selskapets interne testing og datasikkerhet.

Andre personvernsbrudd på få uker

Dette var ikke Metas første personvernsklipp på kort tid. Bare noen uker tidligere ble det oppdaget at Meta AI utilsiktet kunne publisere private chatbot-samtaler offentlig. Som svar la Meta til en advarsel som varsler brukere når de er i ferd med å poste noe offentlig.

Disse gjentatte hendelsene tyder på at Meta kan trenge sterkere personvernprosedyrer for sine AI-tjenester.

Konklusjon

Meta AI-lekkasjen viser hvor sårbart personvern kan være i AI-alderen. Én enkel feil i bakenden eksponerte private samtaler som brukerne trodde var sikre. Etter hvert som AI-verktøy blir stadig mer integrert i hverdagen, må selskaper sikre at brukernes data forblir private – uansett hvor raskt teknologien utvikler seg.