Meta corrige falha de segurança que expunha conversas privadas de usuários em seu chatbot de IA
A Meta, empresa responsável por plataformas como Facebook e Instagram, resolveu uma vulnerabilidade crítica em seu chatbot de inteligência artificial (IA) que permitia que usuários acessassem e visualizassem prompts privados e respostas geradas por IA de outros usuários.
O problema foi identificado por Sandeep Hodkasia, fundador da empresa de testes de segurança Appsecure, que recebeu um prêmio de US$ 10.000 pelo programa de recompensa por bugs da Meta. A falha foi reportada em 26 de dezembro de 2024 e corrigida em 24 de janeiro de 2025, segundo Hodkasia. A Meta confirmou que não há evidências de que a vulnerabilidade tenha sido explorada de forma maliciosa.
Como a falha funcionava
Hodkasia descobriu que, ao editar um prompt no chatbot da Meta, os servidores da empresa atribuíam um número único à solicitação e à resposta gerada pela IA. Ao analisar o tráfego de rede em seu navegador, ele percebeu que era possível alterar esse número e acessar prompts e respostas de outros usuários. Isso ocorria porque os servidores não verificavam adequadamente se o usuário que solicitava os dados tinha autorização para vê-los.
“Os números gerados pelos servidores da Meta eram facilmente previsíveis, o que poderia permitir que um ator malicioso coletasse prompts originais de usuários usando ferramentas automatizadas”, explicou Hodkasia.
Contexto e preocupações
Essa descoberta surge em um momento em que gigantes da tecnologia estão acelerando o lançamento e o aprimoramento de seus produtos de IA, muitas vezes enfrentando desafios significativos em termos de segurança e privacidade. O aplicativo standalone da Meta AI, lançado recentemente para competir com rivais como o ChatGPT, já havia enfrentado críticas após usuários compartilharem inadvertidamente conversas que acreditavam ser privadas.
“Corrigimos a falha em janeiro e não encontramos evidências de abuso. Além disso, recompensamos o pesquisador por sua contribuição”, afirmou um porta-voz da Meta.
Impacto e lições
O caso destaca a importância de testes rigorosos de segurança em produtos de IA, especialmente aqueles que lidam com dados sensíveis dos usuários. A rápida correção da Meta e o programa de recompensa por bugs demonstram um esforço para mitigar riscos, mas também servem como um alerta para outras empresas do setor.
Enquanto a IA continua a evoluir, a proteção da privacidade dos usuários deve ser uma prioridade absoluta para evitar incidentes semelhantes no futuro.
