Meta suspenderer deling af Muse-chats, efter at forskere har fundet links i offentlige DNS-poster

Meta suspenderer funktionen til deling af samtalelinks i sin AI-agent Muse, efter at sikkerhedsfirmaet Claroc fandt mere end 6.800 værtsnavne til Muse-delinger, opført under læsbare samtaletitler i offentlige passive DNS-poster, oplyste Claroc i en opdatering af sin GhostShares-undersøgelse den 20. oktober 2026.

Ifølge opdateringen fortalte Meta Ars Technica, at virksomheden suspenderede funktionen, efter at mediet havde spurgt ind til resultaterne, og Claroc sagde, at firmaet var »glad for at se, at den blev lukket så hurtigt«. Da Claroc den 20. oktober 2026 kontrollerede 40 delinger igen, som kunne åbnes uden en konto tidligere på måneden, kunne ingen af dem åbnes, og værtsnavnene, der viste deres indhold, returnerede en fejl, oplyste firmaet. Selve værtsnavnene, inklusive samtaletitlerne, findes stadig i historikken over passive DNS-poster.

Claroc offentliggjorde den underliggende undersøgelse den 18. oktober 2026 og kaldte de delinger, der kunne findes, for GhostShares: sider, som kan åbnes af personer, der aldrig har fået linket udleveret, og som selv kan finde siderne. Muse blev lanceret den 8. september 2026, og Claroc søgte i et datasæt med passive DNS-poster omkring en måned senere.

Sådan blev delte chats søgbare

Muse offentliggør en delt samtale som en side, der kan åbnes af alle, der har linket, uden at logge ind, og Muse deler kun via links. Ifølge Claroc opbygger Muse webadressen til hver deling ud fra samtalens egen titel plus et tilfældigt ID, som leveres fra værtsnavne under cf.metaaiusercontent.com, det indholdsdomæne, som Muse bruger til at vise delinger. Når nogen åbner en deling, slår browseren værtsnavnet op, og udbydere af passive DNS-poster, hvis navneservere registrerer opslaget, gemmer det og gør det søgbart. Dermed ender den titel, som en bruger har skrevet, i et offentligt indeks over domænenavne.

Claroc søgte efter Muse’ indholdsdomæne hos én kommerciel tjeneste med passive DNS-poster og fandt, efter at have filtreret støj fra scanninger af wildcard-DNS fra, mere end 6.800 værtsnavne til delinger, opført efter titel. Firmaet åbnede kun nogle få hundrede af dem og sagde, at næsten alle aktive delinger kunne åbnes med det samme uden en konto. Passive DNS-poster var ikke det eneste sted, delingerne dukkede op: Ifølge undersøgelsen indeholdt urlscan.io, en offentlig tjeneste til scanning af URL-adresser, som alle kan søge i, allerede mere end 75 gemte scanninger af Muse-delingssider.

Muse’ robots.txt beder søgemaskiners og AI-crawleres robotter om at holde sig væk fra delingsstierne, men Claroc bemærkede, at robots.txt regulerer crawling og ikke adgang, og at firmaets opdagelse slet ikke involverede en søgemaskine. Hver adresse indeholder et tilfældigt ID, der er så langt, at ingen kunne gætte det, men første gang nogen åbner en deling, registrerer DNS hele værtsnavnet, inklusive ID’et. Claroc sagde, at denne type læk har fortilfælde: I 2025 dukkede delte ChatGPT-samtaler op i Google-resultater, og OpenAI fjernede den mulighed, der gjorde det muligt at indeksere dem; senere indekserede Google mere end 370.000 Grok-samtaler.

Hvad de eksponerede sider indeholdt

De fleste af de delinger, Claroc åbnede, var ikke bemærkelsesværdige, men et mindretal indeholdt følsomme oplysninger, oplyste firmaet. Det beskrev seks tilfælde udelukkende efter kategori og tilbageholdt navne og links: en kandidats noter til forberedelse af en fortrolig samtale om en lederstilling med et førende AI-laboratorium, med laboratoriets interne kontaktperson og tidspunktet for mødet angivet; en national marketingsvirksomheds interne gennemgang af omsætningen, mærket til virksomhedens administrerende direktør; en mindre virksomhedsejers låneansøgning med det ansøgte beløb; en huskeliste med en advarsel om banksvindel, der indeholdt en delvis kontonummerangivelse samt et transaktionsbeløb og -tidspunkt; en ejendomsinvestors interne resultatrapport med to ejendomsadresser og præcise tal for afkast, indkomst og realkreditlån; samt en arbejdsplads’ ferieplan for hele året, hvor snesevis af medarbejdere var angivet sammen med de uger, de hver især ville være væk.

Claroc sagde, at firmaet fik adgang til alle sider uden at få deres links udleveret ved at tage udgangspunkt i et datasæt med domæneopslag, uden at bruge en konto, og at det ikke loggede ind, udfyldte en formular eller uploadede noget; én side bad om en adgangskode, og firmaet lod den ligge. Alle vurderinger af alvorlighedsgraden blev foretaget af en person, der læste siden, oplyste firmaet. Claroc sagde, at det ikke har beviser for, at nogen misbrugte delingerne, at det ikke kontaktede de berørte personer eller virksomheder, og at de to virksomheder, hvis dokumenter det fandt, er virkelige, hvilket blev bekræftet ud fra offentlige kilder. Firmaet beskrev sine resultater som én opdagelseskanal, ét mønster for værtsnavne og ét produkt over en kort periode, snarere end som et mål for Muse’ samlede eksponering.

Tidslinje for indberetning og Metas dokumenterede model

Claroc indberettede problemet til Metas bug bounty-program den 8. oktober 2026 med trin til at genskabe problemet og eksempler på delinger. Firmaet kontrollerede indholdet under indsamlingen den 7. og 8. oktober 2026, og den 18. oktober 2026 åbnede det forberedelsesdelingen til samtalen igen én gang, men ingen andre, for at tage et redigeret skærmbillede. Passive DNS-poster viste, at delingslaget stadig oprettede nye værtsnavne, 27 den dag, Claroc senest undersøgte det, hvilket firmaet beskrev som fortsat mulighed for at finde delinger snarere end adgang, der var blevet bekræftet på ny.

Metas dokumentation i Hjælpecenteret om deling af et link til en AI-samtale oplyser, at »personer med linket kan se din samtale«, at linket ikke udløber, og at personer kan dele linket videre. Samtalen gemmes, når linket oprettes, og hvis linket slettes, mister de personer, der har modtaget det, adgangen. Siden råder brugerne til at tænke sig om, når de deler et link til en samtale, hvor de har drøftet personlige oplysninger eller forhold. Claroc bemærkede, at siden beskriver Meta AI og ikke specifikt Muse, men kaldte den den nærmeste offentliggjorte beskrivelse af, hvordan et af Metas AI-delingslinks fungerer.

Metas særskilte dokumentation om privatliv og sikkerhed for Muse oplyser, at hver Muse-brugers virtuelle maskine i skyen er isoleret, så ingen andres agent kan få adgang til den, at Muse ikke deler samtaler eller data fra virtuelle maskiner med Metas annoncesystemer, og at legitimationsoplysninger til tilsluttede apps opbevares i et Secure Credentials Store, som gør det muligt for Muse at udføre godkendte handlinger, uden at AI-modellen kan se adgangskoderne.

Claroc sagde, at virksomheden tilbageholder alle identifikationsoplysninger, herunder værtsnavne, titler, tal og links, så intet i rapporten leder læserne hen til berørt indhold, og at den vil slette de gemte data fra undersøgelsen, når Meta bekræfter, at virksomheden har fået det, den har brug for.