متا در آوریل ۲۰۲۶، پروژهای داخلی به نام «ابتکار قابلیتهای مدل» (MCI) را بیسروصدا در دفاتر خود در آمریکا راهاندازی کرد. این پروژه با ضبط ورودیهای صفحه کلید، حرکات ماوس و اسکرینشاتهای کارمندان، سیستمهای هوش مصنوعی را برای کار با نرمافزارهای کامپیوتری مانند انسان آموزش میداد. منطق مدیران متا ساده بود: با مشاهده نحوه کار بهترین کارمندان، میتوانستند بهترین دادههای آموزشی هوش مصنوعی را به دست آورند.
نشت ۴۵,۰۰۰ قطعه داده، «برهنه شدن» حریم خصوصی کارمندان
با این حال، تنها دو ماه بعد، این پروژه به شکلی تقریباً کنایهآمیز نتیجه معکوس داد. به دلیل خطای پیکربندی کنترل دسترسی، حدود ۴۵,۰۰۰ جدول داده حاوی اطلاعات خصوصی کارمندان در معرض دید هر کسی در داخل شرکت که ممکن بود آنها را پیدا کند، قرار گرفت. محتوای فاش شده نه تنها شامل پرامپتهای کامل هوش مصنوعی بود، بلکه مکالمات خصوصی، دادههای عملکرد پرسنل و حتی اطلاعات مالیاتی و پزشکی شخصی کارمندان را نیز در بر میگرفت. یک کارمند سابق این حادثه را «یک فاجعه» توصیف کرد و فاش ساخت که کارمندان مدتها پیشبینی چنین نشتی را داشتند، اما مدیریت هشدارهای مربوط به حریم خصوصی و امنیت را نادیده گرفته بود.
از رصد تا جایگزینی، کارمندان به «مواد مصرفی» آموزش هوش مصنوعی تبدیل میشوند
مدتها پیش از افشای آسیبپذیری امنیتی، بیش از ۱,۶۰۰ کارمند متا طوماری را امضا کرده و خواستار توقف MCI شده بودند. خواستههای اصلی کارمندان بر حریم خصوصی، امنیت و حق انتخاب متمرکز بود: هیچکس نمیخواست هر ضربه کلیدی که میزند ضبط شود؛ ذخیرهسازی چنین حجم عظیمی از دادههای رفتاری حساس به صورت متمرکز خود یک خطر بزرگ نشت اطلاعات بود؛ علاوه بر این، هنگام راهاندازی پروژه، کارمندان حق انصراف نداشتند. یکی از کارمندان با عصبانیت در یک انجمن داخلی نوشت: «به ما گفته شد که این دادهها محافظت میشوند، اما این درست نیست.»
جدول زمانی این حادثه نشان میدهد که این مشکل ابتدا در ۱۸ ژوئن توسط یک مهندس متا مشاهده و گزارش شد. استفان کاسریل، معاون رئیس تحقیقات هوش مصنوعی، گفت که آسیبپذیری ظرف چهار ساعت برطرف شد، اما راهحل اولیه واقعاً مشکل را حل نکرد و دوباره در مجوزهای دسترسی به دادهها شکافهایی یافت شد. کاسریل در ۲۲ ژوئن تعلیق نامحدود MCI را اعلام کرد و اظهار داشت که تنها زمانی دوباره فعال خواهد شد که اطمینان از اثربخشی کنترلهای حفاظت از دادهها وجود داشته باشد. او همچنین اشاره کرد که شرکت قبلاً «دادههای کافی برای ارزیابی ارزش بلندمدت این ابزار را جمعآوری کرده است»، که به این معنی است که پروژه ممکن است با توقف کامل مواجه شود.
خطرات قانونی نیز متا را تهدید میکند. کارشناسان اشاره کردند که پروژه MCI ممکن است مقررات GDPR اروپا را نقض کند، به ویژه هنگام جمعآوری دادههای رفتاری کارمندان بدون رضایت کافی. علاوه بر این، متا همچنان مشمول یک حکم رضایت از سوی FTC آمریکا است که تا سال ۲۰۴۰ ادامه دارد. اگر FTC تشخیص دهد که این حادثه امنیتی شرایط را نقض کرده است، متا با جریمههای نظارتی جدیدی روبرو خواهد شد. تحلیلگران اقدامات حفاظت از دادههای متا را «به نازکی کاغذ» توصیف کردند.
حادثه MCI یک مسئله عمیقتر را آشکار میکند: هنگامی که دادههای مورد نیاز برای آموزش هوش مصنوعی از درون شرکت میآید، کارمندان همزمان به «ماده خام» برای دادههای آموزشی و «حامل» خطرات حریم خصوصی تبدیل میشوند. برای شرکتی که کسبوکار اصلیاش جمعآوری و کسب درآمد از دادههای کاربران است، عدم حفاظت از امنیت دادههای کارمندان خود، بیش از هر رسوایی حریم خصوصی خارجی، به اعتماد داخلی آسیب میرساند. با استقرار فزاینده عوامل هوش مصنوعی در شرکتها، نظارت بر رفتار کارمندان به یک منطقه خاکستری در حال رشد سریع تبدیل میشود و پرونده متا زنگ خطری برای کل صنعت به صدا درآورده است.