麦当劳大多数特许经营商使用的AI招聘平台McHire存在安全漏洞,导致超过6400万求职者的个人信息暴露。安全研究人员Ian Carroll的报告显示,该平台使用了Paradox.ai开发的名为Olivia的AI聊天机器人,收集求职者的姓名、电话号码、电子邮件地址和物理地址等信息。
然而,这个平台的安全性令人担忧。研究人员发现,只需使用用户名和密码“123456”就能轻松登录管理界面。登录后,攻击者可以通过修改网址中的数字参数(即应聘者的ID编号),查看其他申请人的聊天交互机密信息。系统中保存的招聘记录可能多达6400万份,甚至能获取用于冒充申请人登录的身份验证令牌,查看原始聊天记录。
在发现问题后,研究人员尝试联系Paradox.ai和麦当劳报告这一漏洞,但由于缺乏公开的安全披露联系方式,他们只能通过电子邮件联系随机人员。最终,在研究人员的努力下,Paradox.ai和麦当劳确认了这一问题,并在7月初修复了相关漏洞。