Meta Muse, kullanıcı VM dosya sistemini sıkıştırarak sundu

Meta($META) tarafından geliştirilen kişisel yapay zekâ (AI) ajanı Muse'un, kullanıcıya özel sanal makinenin (VM) kök dosya sistemini ve bazı uygulama dosyalarını sıkıştırarak sunduğu bir vaka tespit edildi. Muse başlangıçta güvenlik gerekçesiyle tam kopyalamayı reddetti ancak daha sonra dosya listeleri ve kopyalar sağlayacak şekilde çalıştı.

Geliştiriciler Peter James (Peter James) ve Jonny L. Saunders (Jonny L. Saunders), 24'ünde Muse'un Linux kök dosya sistemi ile bazı uygulama dosyalarını sıkıştırarak sunduğu süreci ayrı ayrı yeniden oluşturduklarını açıkladı. Saunders, yeniden üretim sürecinin “extremely easy” olduğunu söyledi.

The Verge, Muse'un ilk etapta tüm ‘/’ dizininin kopyalanmasını güvenlik gerekçesiyle reddettiğini, ancak ertesi gün kök dizindeki dosya listesini göstererek ‘/opt/hatch’ ve ‘/home/hatch’ dizinlerinin kopyalarını oluşturduğunu bildirdi. Bazı SSH anahtarları gibi hassas dosyaların kaldırıldığı aktarıldı.

25'indeki takip testinde Muse'un tıklanabilir bir dosya tarayıcısı üzerinden kök erişim yollarını sunduğu ve ‘gizli bilgilerin kaldırıldığı’ koşuluyla tüm dosya sisteminin listesini sıkıştırıp ilettiği görüldü. Dosyalarda Muse'un dahili adı olan ‘Hatch’ ile ilgili belgeler, uygulama şablonları ve harici hizmet bağlantı yapılarının bulunduğu bildirildi.

Vaka, başka kullanıcıların bilgilerinin sızdırıldığı anlamına gelmiyor. Tartışma, kullanıcının kendi VM'i içinde Muse'un dahili belgelerini ve çalışma yapısını hangi ölçüde görebildiğiyle ilgili. Dosyaların talepler doğrultusunda seçilip sıkıştırılması, AI ajanlarının yetki sınırlarının ve bilgi ifşası standartlarının nasıl belirlenmesi gerektiği sorusunu gündeme getirdi.

Meta Süperzekâ Araştırma Laboratuvarı'ndan Nat Friedman (Nat Friedman), söz konusu davranışın “intended behavior” olduğunu söyledi. David Singleton (David Singleton) ise Muse'u “buluttaki kendi bilgisayarınız” olarak tanımladı.

Meta sözcüsü Daniel Roberts (Daniel Roberts), kullanıcının kendi VM dosyalarını görmesinin dizüstü bilgisayarında kayıtlı dosyaları görmeye benzediğini söyledi. Açıklamaya göre yalnızca VM verilerinin dışarı çıkarılması Meta'nın altyapısına veya diğer kullanıcıların verilerine erişim sağlamıyor.

Meta'nın resmi güvenlik açıklamasına göre Muse, her kullanıcıya özel Linux VM üzerinde çalışıyor. Ana ajan, çalışma dosyaları ve yürütme araçları ‘systemd-nspawn’ çalışma zamanı konteyneri içinde çalışıyor. Konteyner içindeki root yetkisi, ana makinenin root yetkisinden ayrılmış durumda.

Harici ağ bağlantıları, ayrı bir kontrol sistemi olan ‘Sentinel’in onayından geçiyor. Meta, bu yapının prompt injection saldırılarından kaynaklanabilecek zararları azaltmaya yönelik bir savunma sistemi olduğunu açıkladı.

Ancak dosyalarda görülen dahili belgeler ve kodlar, resmi olarak yayımlanmış özellikler anlamına gelmiyor. Muse'un belleğinin düz metin biçiminde saklandığı veya konuşmaları özetleyen bir gece inceleme özelliğine sahip olduğu yönündeki açıklamalar, geliştirici analizlerine dayanıyor.

Meta Muse'un tek bir taleple Linux çalışma ortamını harici depolamaya kaydettiği vaka daha önce de yayımlanmıştı. O dönemde arşivden çıkarılan dosyalarda Muse'un dahili belgeleri, ajan çalışma kayıtları, entegrasyon kodları ve uygulama şablonlarının bulunduğu aktarılmıştı.

Meta, Muse'u 8 Eylül'de tanıtırken e-posta gönderme, seyahat rezervasyonu yapma ve tarayıcı işlemlerini gerçekleştirme kapasitesine sahip kişisel bir AI ajanı olarak tanımladı. Muse, kullanıcı verilerini ve ajanın çalışma ortamını özel bir VM'de birlikte saklıyor. Kullanıcılar VM'e dosya ekleyebiliyor veya Muse tarafından oluşturulan dosyaları görüntüleyip düzenleyip indirebiliyor.

VM, bulutta bağımsız çalışan sanal bir bilgisayardır. Konteyner ise uygulamalar ile çalışma ortamlarını tek bir işletim sistemi içinde ayıran teknolojidir. Bu vakada VM, konteyner ve harici ağ kontrolü farklı güvenlik sınırları oluşturuyor.

Geliştirici topluluğunda, vakayı kullanıcıların kendi VM'lerini kontrol edebilmesi için tasarlanmış bir özellik olarak görenlerin yanı sıra dahili kod ve belgelerin istemeden sunulabileceği endişesini taşıyanlar da bulunuyor. Jonny L. Saunders, Muse'un prompt injection saldırılarına dayanıklılığını “Almost no prompt injection resistance” seviyesinde değerlendirdi. Bu değerlendirme kişisel analiz ve iddia niteliğinde.

Meta, yıl içinde ‘Muse Confidential VM’ özelliğini kullanıma sunmayı planlıyor. Bu modelde VM'in tamamı kullanıcının sahip olduğu anahtarla şifrelenecek ve Meta'nın kullanıcı verilerine ya da Muse konuşmalarına erişememesi hedeflenecek.

Meta, geçerli güvenlik açığı bildirimleri için 300 bin dolara kadar, tek bir kullanıcıyı etkileyen prompt injection bildirimleri için ise 130 bin dolara kadar ödeme yaptığını açıkladı. Dosyaların paylaşım kapsamının ürün güncellemelerine göre neden değiştiği ve hassas dosyaların kaldırılma kriterleri açıklanmadı.