Meta setzt das Teilen von Muse-Chats aus, nachdem Forschende Links im öffentlichen DNS gefunden haben

Meta setzt die Funktion zum Teilen von Gesprächslinks in seinem Muse-KI-Agenten aus, nachdem die Sicherheitsfirma Claroc nach eigenen Angaben in einer Aktualisierung ihrer GhostShares-Recherche vom 20. Oktober 2026 mehr als 6.800 Muse-Share-Hostnamen gefunden hatte, die in öffentlich zugänglichen passiven DNS-Datensätzen mit lesbaren Gesprächstiteln aufgeführt waren.

Laut der Aktualisierung teilte Meta Ars Technica mit, dass es die Funktion aussetze, nachdem das Medium zu den Erkenntnissen nachgefragt hatte. Claroc erklärte, man sei „froh, dass sie so schnell geschlossen wurde“. Als Claroc am 20. Oktober 2026 erneut 40 Freigaben überprüfte, die zu Monatsbeginn noch ohne Konto geöffnet werden konnten, ließ sich keine mehr aufrufen. Die Hostnamen, über die ihre Inhalte bereitgestellt wurden, gaben laut der Firma einen Fehler zurück. Die Hostnamen selbst, einschließlich der Gesprächstitel, bleiben in der Historie des passiven DNS erhalten.

Claroc veröffentlichte die zugrunde liegende Recherche am 18. Oktober 2026 und bezeichnete die auffindbaren Freigaben als GhostShares: Seiten, die sich für Personen öffnen, denen der Link nie zugeschickt wurde und die sie selbst finden können. Muse startete am 8. September 2026; Claroc durchsuchte etwa einen Monat später einen passiven DNS-Datensatz.

Wie geteilte Chats auffindbar wurden

Muse veröffentlicht ein geteiltes Gespräch als Seite, die sich für alle öffnen lässt, die den Link besitzen – ohne Anmeldung. Muse teilt Inhalte ausschließlich per Link. Laut Claroc erstellt Muse für jede Freigabe eine Webadresse, die sich aus dem Titel des Gesprächs und einer zufälligen ID zusammensetzt und über Hostnamen unter cf.metaaiusercontent.com bereitgestellt wird, der Inhaltsdomain, über die Muse Freigaben ausliefert. Öffnet jemand eine Freigabe, löst der Browser den Hostnamen auf. Anbieter passiver DNS-Dienste, deren Resolver diese Abfrage beobachten, protokollieren sie und halten sie durchsuchbar. So gelangt der von einem Nutzer eingegebene Titel in einen öffentlichen Index von Domainnamen.

Claroc durchsuchte einen kommerziellen passiven DNS-Dienst nach der Inhaltsdomain von Muse und fand nach dem Herausfiltern von durch Wildcard-DNS-Scans verursachten Störtreffern mehr als 6.800 nach Titeln aufgeführte Share-Hostnamen. Die Firma öffnete nur einige Hundert davon und erklärte, dass sich fast alle aktiven Freigaben sofort und ohne Konto aufrufen ließen. Das passive DNS war nicht der einzige Ort, an dem die Freigaben auftauchten: Laut der Recherche enthielt urlscan.io, ein öffentlicher URL-Scan-Dienst, den jeder abfragen kann, bereits mehr als 75 gespeicherte Scans von Muse-Share-Seiten.

In der robots.txt von Muse werden Suchmaschinen- und KI-Crawler aufgefordert, die Freigabepfade zu meiden. Claroc wies jedoch darauf hin, dass robots.txt das Crawling und nicht den Zugriff regelt und die Firma bei ihrer Suche keine Suchmaschine nutzte. Jede Adresse enthält eine zufällige ID, die so lang ist, dass niemand sie erraten könnte. Doch sobald jemand eine Freigabe zum ersten Mal öffnet, protokolliert das DNS den vollständigen Hostnamen einschließlich der ID. Laut Claroc gab es bereits vergleichbare Fälle: 2025 tauchten geteilte ChatGPT-Gespräche in den Google-Suchergebnissen auf, woraufhin OpenAI die Option entfernte, durch die sie indexierbar waren. Später indexierte Google mehr als 370.000 Grok-Gespräche.

Was die offengelegten Seiten enthielten

Die meisten von Claroc geöffneten Freigaben waren unauffällig, doch eine Minderheit enthielt sensible Inhalte, erklärte die Firma. Sie beschrieb sechs Fälle ausschließlich nach Kategorien und nannte weder Namen noch Links: Notizen einer Bewerberin oder eines Bewerbers zur Vorbereitung auf ein vertrauliches Gespräch mit einer Personalberatung für Führungskräfte bei einem führenden KI-Labor, einschließlich des internen Ansprechpartners des Labors und des Gesprächstermins; eine interne Umsatzanalyse eines nationalen Marketingunternehmens, die als vertraulich gekennzeichnet und an dessen CEO gerichtet war; einen Kreditantrag eines Kleinunternehmers mit dem beantragten Betrag; eine To-do-Liste mit einem Betrugsalarm einer Bank samt teilweise angegebener Kontonummer sowie Transaktionsbetrag und -zeitpunkt; einen internen Leistungsbericht eines Immobilieninvestors mit zwei Immobilienadressen und genauen Angaben zu Rendite, Einnahmen und Hypotheken; sowie den Jahresurlaubsplan eines Arbeitsplatzes, in dem Dutzende Beschäftigte den Wochen zugeordnet waren, in denen sie abwesend sein würden.

Claroc erklärte, die Firma habe jede Seite aufgerufen, ohne dass ihr der jeweilige Link zugeschickt worden sei: Sie habe dafür einen Datensatz mit Domainabfragen und kein Konto verwendet und sich weder angemeldet noch ein Formular ausgefüllt oder etwas hochgeladen. Eine Seite habe nach einem Passwort gefragt, woraufhin die Firma sie verlassen habe. Jede Einschätzung des Schweregrads sei von einer Person vorgenommen worden, die die Seite gelesen habe, so Claroc. Die Firma erklärte, sie habe keine Hinweise darauf, dass jemand die Freigaben missbraucht habe, und weder die beteiligten Personen noch die Unternehmen kontaktiert. Die beiden Unternehmen, deren Dokumente sie gefunden habe, seien real; dies habe sie anhand öffentlicher Quellen bestätigt. Claroc bezeichnete die Ergebnisse als einen über einen kurzen Zeitraum genutzten Entdeckungskanal, ein Hostnamenmuster und ein Produkt – nicht als Maß für das gesamte Ausmaß der Offenlegung bei Muse.

Zeitlicher Ablauf der Offenlegung und Metas dokumentiertes Modell

Claroc meldete das Problem am 8. Oktober 2026 mit Reproduktionsschritten und Beispielen für Freigaben an Metas Bug-Bounty-Programm. Die Inhaltsprüfungen erfolgten während der Datenerhebung am 7. und 8. Oktober 2026. Am 18. Oktober 2026 öffnete Claroc die Freigabe zur Gesprächsvorbereitung erneut genau einmal – keine weiteren Freigaben –, um einen geschwärzten Screenshot aufzunehmen. Das passive DNS zeigte, dass die Freigabeebene weiterhin neue Hostnamen erzeugte: 27 an dem Tag, an dem Claroc zuletzt nachsah. Die Firma beschrieb dies als fortgesetzte Auffindbarkeit und nicht als erneut bestätigten Zugriff.

In Metas Hilfecenter-Dokumentation zum Teilen eines Links zu einer KI-Unterhaltung heißt es: „Personen mit dem Link können deine Unterhaltung sehen.“ Außerdem läuft der Link nicht ab, und Nutzer können ihn weitergeben. Die Unterhaltung wird zum Zeitpunkt der Linkerstellung erfasst. Wird der Link gelöscht, verlieren Personen, die ihn erhalten haben, den Zugriff. Die Seite rät Nutzern, beim Teilen eines Links zu einer Unterhaltung, in der sie persönliche Informationen oder Umstände besprochen haben, umsichtig zu sein. Claroc wies darauf hin, dass die Seite Meta AI und nicht speziell Muse dokumentiert, bezeichnete sie aber als die nächstliegende veröffentlichte Beschreibung Metas dazu, wie sich einer der KI-Teilungslinks verhält.

In Metas separater Datenschutz- und Sicherheitsdokumentation zu Muse heißt es, dass die virtuelle Maschine jedes Muse-Nutzers in der Cloud isoliert ist, sodass kein Agent einer anderen Person darauf zugreifen kann; dass Muse weder Unterhaltungen noch Daten virtueller Maschinen an Metas Werbesysteme weitergibt; und dass Zugangsdaten für verbundene Apps in einem Secure Credentials Store gespeichert werden. Dieser ermöglicht Muse, autorisierte Aktionen auszuführen, ohne dass das KI-Modell Passwörter sieht.

Claroc erklärte, dass das Unternehmen sämtliche Kennungen zurückhält – darunter Hostnamen, Titel, Zahlen und Links –, damit sein Bericht die Leser an keiner Stelle zu betroffenen Inhalten führt. Außerdem werde Claroc die gespeicherten Entdeckungsdaten löschen, sobald Meta bestätigt, dass das Unternehmen alles erhalten hat, was es benötigt.