麦当劳McHire聊天机器人管理员登录使用密码123456，暴露求职者数据

McHire是麦当劳的AI驱动招聘平台，由Paradox.ai构建，其中名为Olivia的聊天机器人负责筛选和接触求职者。据《经济时报》摘要的CSO Online报道，在Reddit用户抱怨Olivia给出奇怪或无意义的回复后，安全研究人员Ian Carroll和Sam Curry于2025年6月下旬对此进行了调查。他们注意到McHire管理界面上有一个标有“Paradox team members”的登录选项，并尝试了默认用户名和密码“123456”。它奏效了。

该登录不仅让他们访问了测试环境，还访问了带有实时数据的真实管理仪表板。随后，他们发现了一个内部API端点，该端点使用可预测的参数获取申请人记录，这是一种不安全的直接对象引用。通过它，他们可以查看申请人与Olivia的聊天记录、姓名、电子邮件地址、电话号码、申请详情，甚至可用于冒充候选人的令牌。报道称，此次暴露可能涉及多达6400万求职者。

在6月30日披露后，Paradox.ai和麦当劳迅速承认了这一漏洞。到7月1日，默认凭据已被禁用，端点也已加固，Paradox表示将进行进一步的安全审计。Paradox还表示，根据其记录，该测试账户除研究人员外未被任何人访问，没有候选人信息在网上泄露，并且只查看了五名候选人的信息。

多达6400万申请人的记录可被访问；Paradox称只有五名候选人的数据被研究人员查看。未报告有罚款。

一个密码为“123456”的默认管理员账户仍然有效，并且可从公共登录页面访问。

该账户不仅限于测试环境：它打开了带有实时申请人数据的真实仪表板。

一个API端点对可预测的标识符返回申请人记录，而不检查请求者是谁。

该招聘聊天机器人被大规模部署，却存在基本的安全漏洞，报道中引用的分析人士将此归因于将AI工具仓促投入生产。

AI前端并不能改变基本原则：删除默认测试账户并检查对象级访问权限，否则聊天机器人的数据库只差一次猜测。

到2025年7月1日，即披露后一天内，凭据已被禁用，端点也已加固。Paradox称此次暴露影响了一个组织，且只有研究人员查看了数据。《经济时报》的报道未提及罚款或诉讼；引用的专家警告称，这些数据可能助长网络钓鱼和社交工程攻击。