Meta'nın AI Sohbet Botunda Güvenlik Açığı Kapatıldı

Meta, kullanıcıların özel yapay zeka (AI) istekleri ve AI tarafından üretilen içeriklerinin diğer kullanıcılar tarafından görüntülenmesine neden olabilecek önemli bir güvenlik açığını düzeltti. Bu açık, Meta'nın AI sohbet botu üzerinde kullanıcıların gizliliğini tehdit ediyordu.

Açığın Keşfi ve Kapatılması

Güvenlik testi firması Appsecure'ün kurucusu Sandeep Hodkasia, 26 Aralık 2024 tarihinde Meta'ya bildirdiği güvenlik açığı sayesinde $10.000 ödül kazandı. Meta, Hodkasia'nın bildiriminden bir ay sonra, 24 Ocak 2025'te açığı kapattı. Şirket, açığın kötü niyetli olarak kullanıldığına dair herhangi bir kanıt bulamadığını açıkladı.

Açığın Detayları

• Kullanıcılar, kendi AI isteklerini düzenlerken, Meta'nın arka uç sunucuları bu isteklere ve yanıtlarına benzersiz bir numara atıyordu.
• Hodkasia, web tarayıcısında ağ trafiğini incelerken bu numarayı değiştirerek başka bir kullanıcının isteğini ve AI yanıtını görüntüleyebildiğini fark etti.
• Numaraların "tahmin edilmesi kolay" olması, kötü niyetli kişilerin otomatik araçlarla başka kullanıcıların özel verilerine erişebilmesini mümkün kılıyordu.

Meta'nın Yanıtı ve Güvenlik Vurgusu

Meta sözcüsü Ryan Daniels, açığın kapatıldığını ve araştırmacının ödüllendirildiğini doğruladı. Şirket, olayda herhangi bir istismar veya kötüye kullanıma dair bulguya rastlamadı.

AI Platformlarında Gizlilik ve Güvenlik Endişeleri

Bu gelişme, büyük teknoloji şirketlerinin hızla AI ürünlerini piyasaya sürme yarışında güvenlik ve gizlilik risklerinin göz ardı edilebileceğini gösteriyor. Meta AI'nın bağımsız uygulaması, ChatGPT gibi rakiplerle rekabet etmek amacıyla bu yılın başında piyasaya sunulmuştu. Ancak, bazı kullanıcılar özel olduğunu düşündükleri sohbetleri yanlışlıkla herkese açık paylaştı ve bu durum uygulamanın gizlilik politikalarını tekrar gündeme getirdi.

İşletmeler ve Kullanıcılar için Çıkarımlar

• AI tabanlı platformlarda veri gizliliği ve yetkilendirme kontrollerinin ne kadar kritik olduğu bir kez daha ortaya çıktı.
• İşletmeler, müşteri verilerinin korunmasına yönelik önlemlere daha fazla önem vermeli ve güvenlik açıklarını hızlıca tespit edip gidermelidir.

Kaynaklar

• Meta fixes bug that could leak users’ AI prompts and generated content - TechCrunch
• The Meta AI app is a privacy disaster - TechCrunch
• Signal president Meredith Whittaker calls out agentic AI as having profound security and privacy issues - TechCrunch
• Meta launches a standalone AI app to compete with ChatGPT - TechCrunch