Meta Muse, 6,8 GB'lık çalışma ortamını dış depolamaya aktardı: SSH anahtarı dahil

Meta'nın($META) yapay zeka ajanı Muse'un, tek bir talep üzerine oturuma tahsis edilen Linux çalışma ortamını sıkıştırarak Google Drive'a kaydettiği ortaya çıktı. Sıkıştırılmış dosyanın açılmasıyla yaklaşık 6,8 GB'lık veri elde edildi; dosyalarda iç belgeler, ajan çalıştırma kayıtları ve SSH anahtarları yer aldı.

Mouse kurucusu Peter James, 22'sinde blogunda yayımladığı analiz yazısında, Muse'a "görünen dosyaları paketleyip Google Drive'a kaydetmesini" söylediğini belirtti. Muse'un oluşturduğu sıkıştırılmış dosya yaklaşık 2,7 GB boyutundaydı. Dosya açıldığında Ubuntu sistem dosyaları, Muse'un iç belgeleri, entegrasyon kodları, uygulama şablonları ve bellek dosyaları görüldü.

James, bu dosyaların Meta'nın çalışma oturumu için tahsis ettiği Linux ortamının tamamını içeriyor gibi göründüğünü söyledi. Dosyalarda 113 alt ajan çalıştırma kaydı ve yaklaşık 68 beceri dizini de bulundu.

Belgelerde tarayıcı kullanımı, ödemeler, kimlik bilgileri, takvim yönetimi ve veri işleme yöntemleri ele alındı. Bazı yapılandırma dosyalarında Slack, Dropbox, Polymarket, Canva ve Klaviyo adları da yer aldı.

Ancak bu adların gerçekten kullanıma sunulmuş entegrasyon özelliklerine işaret edip etmediği doğrulanmadı. James, belgelerde geçen 'Meta Home Link'i ESP32-C5 ile Wi-Fi ve Bluetooth Low Energy iletişimini kullanan deneysel bir entegrasyon özelliği olarak sınıflandırdı. Bunun şirket içi bir prototip mi, sınırlı bir deney mi yoksa ürünleştirme planı mı olduğu ise belirlenemedi.

Meta'nın Muse'u, e-posta gönderme, alışveriş yapma ve seyahat rezervasyonu gibi görevleri kullanıcı adına gerçekleştiren bir yapay zeka ajanı. TokenPost daha önce Muse'un seyahat arama ve rezervasyon süreçlerine dahil olabildiğini bildirmişti.

Codex kodlama için değil, korumalı alan amacıyla kullanıldı

Dışa aktarılan çalışma ortamında OpenAI'ın Codex CLI 0.149.0 sürümü de kurulu durumdaydı. Kurulum yolu /opt/hatch-image/bin/codex olarak görünüyordu. Ancak James, Muse'un Codex'i kodlama ajanı olarak kullandığına dair kanıt bulamadığını açıkladı.

Muse'un fiilen kullandığı araç, Codex'in içinde bulunan Linux korumalı alan aracı 'bubblewrap'ti. Muse bu araçla ffmpeg ve ffprobe video işleme programlarını, ayrı izinlere ve kısıtlı ağ erişimine sahip bir ortamda çalıştırdı.

Çalışma ortamında Codex bulunmasına rağmen doğrulanabilen rolü kod yazmak değil, dosya işleme sürecini yalıtmaktı. Korumalı alan, programın izinlerini ve erişim kapsamını sınırlandırarak diğer dosyalar veya sistem üzerindeki etkisini azaltır.

James, SSH anahtar dosyaları da bulduğunu söyledi. Ancak bu anahtarların etkin olup olmadığı ve hangi erişim izinlerini sağladığı doğrulanamadı.

James ayrıca bu vakanın konteyner sınırlarının dışına çıkan bir saldırıyı kanıtlamadığını belirtti. Kamuoyuyla paylaşılan bulgular, Muse'un erişebildiği çalışma ortamındaki dosyaları bağlı bir dış depolama alanına taşımasına odaklanıyor.

James, iç çalıştırma dosyaları ile hassas materyallerin normal bir sohbet üzerinden bağlı dış depolama alanı aracılığıyla ortam dışına taşınabildiğini Meta'nın hata ödül programına bildirdi. Meta bildirimi 'Not Applicable' olarak sınıflandırdı ve gerekçeyi açıklamadan güvenlik veya gizlilik etkisine ilişkin ek kanıt istedi.

Meta, resmi güvenlik açıklamasında Muse'un her kullanıcıya özel sanal makineler ve yalıtılmış çalışma hücrelerinde çalıştığını belirtti. Verilerin dışarı taşınmasına yönelik işlemlerin Sentinel ve onay süreçleri tarafından kontrol edildiğini açıkladı.

Meta, Muse ile ilgili hata ödüllerinin üst sınırını 300 bin dolar( yaklaşık 4 milyar won) olarak belirliyor. Bu bildirimin neden ödül kapsamı dışında bırakıldığına ilişkin ölçütler açıklanmadı.

Vaka, yapay zeka ajanlarının güvenliğinin yalnızca model yanıtlarının doğruluğuyla değerlendirilemeyeceğini gösteriyor. Ajanın hangi dosyalara erişebildiği, dış depolama alanlarına bağlanıp bağlanamadığı ve çalışma ortamında oluşturulan kayıtlarla kimlik bilgilerinin nasıl ayrıştırıldığı da incelenmesi gereken başlıklar arasında yer alıyor.

James'in elde ettiği SSH anahtarlarının gerçek geçerliliği ve erişim kapsamı ile belgelerde adı geçen entegrasyon özelliklerinin kullanıma sunulup sunulmadığı ise ek doğrulama bekleyen konular arasında bulunuyor.