메타 뮤즈, 공유 링크로 사용자 민감정보 노출

핵심 요약

• 메타의 AI 에이전트 뮤즈가 대화 공유 기능에서 민감한 개인·업무 정보를 노출하는 취약점이 발견됐다.
• 보안업체 클라록 연구원들이 단 한 번의 쿼리로 6,800개의 공유 링크를 열거할 수 있었다.
• 노출된 정보에는 임원 지원자 면접 메모, 회사 매출 검토 자료, 대출 신청서, 직원 휴가 일정 등이 포함됐다.
• 모든 공유 링크가 cf.metaaiusercontent.com 도메인을 사용하고, URL의 서브도메인에 대화 제목을 포함시키는 설계가 문제였다.
• 패시브 DNS 검색으로 subdomain에 기록된 대화 제목을 누구나 조회할 수 있어 의도치 않은 사람이 링크를 발견할 수 있다.
• 메타는 버그 바운티 프로그램을 통해 이 보고를 받았으며, 공유 기능을 일시 중단하고 링크 발견 방식 변경을 검토하겠다고 밝혔다.
• 연구원 아사프 아프로즈퍼는 10월 8일 메타에 보고했으나 회신을 받지 못했다.
• 뮤즈는 AI 에이전트가 사용자 계정에 광범위한 접근 권한을 필요로 하는데, 앞서 3주 전 또 다른 영구 권한 탈취 취약점이 발견된 바 있다.