Meta Muse, 공유한 대화의 개인정보 노출로 공유 기능 중단

Meta의 AI 에이전트 Muse에서 사용자가 공유한 대화를 제3자도 찾아 열람할 수 있는 문제가 발견됨. 링크를 직접 전달받지 않아도 로그인 없이 개인 금융 정보와 기업 내부 자료에 접근 가능했음 보안업체 Claroc은 과거 DNS 조회 기록을 모은 패시브 DNS 서비스에서 검색 한 번으로 공유 주소 6,800개 이상을 발견. 수백 개를 열어 민감한 자료가 포함된 사례를 확인 대화 제목과 무작위 식별자를 서브도메인에 넣은 주소 설계가 원인. 추측하기 어렵게 만든 식별자까지 DNS 기록에 남아, 기록을 검색하면 공유 링크를 알아낼 수 있었음 노출 자료에는 기업 내부 매출 보고서와 대출 신청서, 은행 사기 경고, 직원 휴가 일정표 등이 포함. 비공개 임원 채용 통화를 준비하는 메모에서도 연락 담당자와 회의 시간이 드러남 Meta는 공유 기능을 일시 중단하고 링크 발견 방식을 검토 중. 연구진이 10월 20일 기존 공유 페이지 40개를 재확인했을 때 모두 열리지 않았지만, 대화 제목이 포함된 DNS 기록은 남아 있음 검색 한 번으로 드러난 공유 대화 Muse의 공유 기능은 다른 온라인 서비스처럼 검색, 대화, 이미지 등의 콘텐츠를 고유 URL로 공개하고, 링크를 가진 누구나 해당 페이지를 열 수 있게 함 일반적으로 이런 URL은 추측하기 어려운 긴 문자열을 넣어 의도하지 않은 사람의 접근을 막음 Muse도 비슷한 조치를 취한 것으로 보이지만, URL 구성 방식 때문에 링크를 쉽게 찾아낼 수 있었음 보안업체 Claroc 은 검색 한 번으로 공유 링크 6,800개를 수집함 수백 개를 열어 본 결과, 공개하려던 정보가 아닌 개인 및 기업의 민감한 자료를 확인함 확인한 노출 사례는 다음과 같음 최첨단 AI 연구소와의 비공개 임원 채용 통화를 준비한 지원자 메모에 연구소 내부 연락 담당자와 회의 시간이 들어 있었음 전국 규모 마케팅 회사의 내부 매출 검토 자료에는 CEO용이라고 표시돼 있었음 소상공인의 대출 신청서에는 신청 금액이 담겨 있었음 할 일 목록에서는 은행 사기 경고와 계좌번호 일부, 거래 금액 및 시간을 확인함 부동산 투자자의 내부 실적 보고서에는 부동산 두 곳의 주소와 정확한 수익률, 소득, 주택담보대출 수치가 담겨 있었음 직장의 연간 직원 휴가 일정표에서는 수십 명의 직원과 각자의 부재 주간이 드러남 서브도메인과 패시브 DNS가 만드는 노출 경로 패시브 DNS 는 도메인 이름과 IP 주소의 과거 연결 이력, ...