Meta suspende el uso compartido de chats de Muse tras el hallazgo de enlaces en DNS público por parte de investigadores

Meta suspende la función para compartir enlaces a conversaciones de su agente de IA Muse después de que la empresa de seguridad Claroc encontrara más de 6.800 nombres de host de conversaciones compartidas de Muse, identificables por sus títulos legibles, en registros públicos de DNS pasivo, según informó Claroc en una actualización del 20 de octubre de 2026 de su investigación GhostShares.

Según la actualización, Meta dijo a Ars Technica que suspendía la función después de que el medio preguntara por los hallazgos, y Claroc afirmó que le «alegraba que la hubieran cerrado tan rápido». Cuando Claroc volvió a comprobar el 20 de octubre de 2026 40 conversaciones compartidas que a principios de ese mes se habían abierto sin necesidad de una cuenta, ninguna se abrió y los nombres de host que alojaban su contenido devolvieron un error, señaló la empresa. Los nombres de host, incluidos los títulos de las conversaciones, siguen en el historial de DNS pasivo.

Claroc publicó la investigación original el 18 de octubre de 2026 y llamó GhostShares a las conversaciones compartidas que se pueden encontrar: páginas que se abren para personas a quienes nunca se les proporcionó el enlace y que pueden localizar por su cuenta. Muse se lanzó el 8 de septiembre de 2026, y Claroc realizó su búsqueda en un conjunto de datos de DNS pasivo aproximadamente un mes después.

Cómo se volvieron localizables las conversaciones compartidas

Muse publica las conversaciones compartidas como páginas que se abren para cualquiera que tenga el enlace, sin necesidad de iniciar sesión, y solo permite compartirlas mediante un enlace. Según Claroc, Muse crea la dirección web de cada conversación compartida a partir del título de la propia conversación y un identificador aleatorio, y la aloja en nombres de host bajo cf.metaaiusercontent.com, el dominio desde el que Muse sirve las conversaciones compartidas. Cuando alguien abre una de ellas, el navegador resuelve ese nombre de host y los proveedores de DNS pasivo cuyos resolutores observan la consulta la registran y la mantienen disponible para búsquedas; así, el título que escribió el usuario acaba en un índice público de nombres de dominio.

Claroc buscó en un servicio comercial de DNS pasivo el dominio de contenido de Muse y, tras filtrar el ruido generado por los análisis de DNS comodín, encontró más de 6.800 nombres de host de conversaciones compartidas registrados por título. La empresa abrió solo unos cientos y dijo que casi todas las conversaciones compartidas que seguían activas se abrían de inmediato, sin necesidad de una cuenta. El DNS pasivo no era el único lugar donde aparecían: según la investigación, urlscan.io, un servicio público de análisis de URL que cualquiera puede consultar, ya tenía guardados más de 75 análisis de páginas de conversaciones compartidas de Muse.

El archivo robots.txt de Muse pide a los rastreadores de buscadores y de IA que no accedan a las rutas de las conversaciones compartidas, pero Claroc señaló que robots.txt regula el rastreo, no el acceso, y que su búsqueda no recurrió en ningún momento a un motor de búsqueda. Cada dirección incluye un identificador aleatorio tan largo que nadie podría adivinarlo; sin embargo, la primera vez que alguien abre una conversación compartida, el DNS registra el nombre de host completo, incluido el identificador. Claroc dijo que ya había antecedentes de este tipo de filtración: en 2025, algunas conversaciones compartidas de ChatGPT aparecieron en los resultados de Google y OpenAI eliminó la opción que permitía indexarlas; más tarde, Google indexó más de 370.000 conversaciones de Grok.

Qué contenían las páginas expuestas

La mayoría de las conversaciones compartidas que Claroc abrió no tenían nada destacable, pero una minoría contenía información sensible, afirmó la empresa. Describió seis casos únicamente por categoría, sin revelar nombres ni enlaces: las notas de un candidato para prepararse para una llamada confidencial de selección de directivos con un laboratorio puntero de IA, que identificaban al contacto interno del laboratorio y la hora de la reunión; una revisión interna de ingresos de una empresa nacional de marketing, marcada para su director ejecutivo; la solicitud de préstamo de un pequeño empresario, con el importe solicitado; una lista de tareas que incluía una alerta bancaria por fraude con un número de cuenta parcial y el importe y la hora de una transacción; un informe interno de rendimiento de un inversionista inmobiliario con dos direcciones de propiedades y cifras exactas de rentabilidad, ingresos e hipotecas; y el calendario anual completo de vacaciones del personal de un lugar de trabajo, que relacionaba a decenas de empleados con las semanas en que cada uno estaría ausente.

Claroc dijo que llegó a todas las páginas sin que nadie le proporcionara sus enlaces, a partir de un conjunto de datos de consultas de dominios y sin usar una cuenta, y que no inició sesión, rellenó ningún formulario ni subió nada; una página pidió una contraseña y la empresa la dejó de lado. Según Claroc, todas las evaluaciones de gravedad las hizo una persona que leyó la página. Claroc afirmó que no tiene pruebas de que alguien haya hecho un uso indebido de las conversaciones compartidas, que no contactó a las personas ni a las empresas implicadas y que las dos empresas cuyos documentos encontró existen, algo que confirmó mediante fuentes públicas. La empresa describió sus hallazgos como el resultado de un canal de descubrimiento, un patrón de nombres de host y un producto durante un breve periodo, y no como una medida de la exposición total de Muse.

Cronología de la divulgación y modelo documentado de Meta

Claroc informó del problema al programa de recompensas por errores de Meta el 8 de octubre de 2026 y proporcionó pasos para reproducirlo y ejemplos de conversaciones compartidas. Comprobó el contenido durante la recopilación de datos, los días 7 y 8 de octubre de 2026; el 18 de octubre de 2026 volvió a abrir una vez la conversación compartida con los preparativos de la llamada, y ninguna otra, para tomar una captura de pantalla censurada. El DNS pasivo mostró que el nivel de conversaciones compartidas seguía generando nombres de host nuevos: 27 el día en que Claroc realizó su última consulta, lo que la empresa describió como un descubrimiento continuado, no como un acceso verificado de nuevo.

La documentación del Centro de ayuda de Meta sobre cómo compartir un enlace a una conversación con una IA indica que «las personas que tengan el enlace podrán ver tu conversación», que el enlace no caduca y que otras personas pueden compartirlo. La conversación queda registrada tal como estaba en el momento de crear el enlace, y eliminarlo revoca el acceso de quienes lo recibieron. La página recomienda tener cuidado al compartir un enlace a una conversación en la que se haya hablado de información o circunstancias personales. Claroc señaló que la página trata sobre Meta AI y no específicamente sobre Muse, pero la describió como la explicación publicada más cercana que ofrece Meta sobre el funcionamiento de uno de sus enlaces para compartir conversaciones con IA.

La documentación independiente de Meta sobre privacidad y seguridad de Muse señala que la máquina virtual en la nube de cada usuario de Muse está aislada, de modo que ningún agente de otra persona puede acceder a ella; que Muse no comparte conversaciones ni datos de máquinas virtuales con los sistemas publicitarios de Meta; y que las credenciales de las aplicaciones conectadas se almacenan en Secure Credentials Store, que permite a Muse realizar acciones autorizadas sin que el modelo de IA vea las contraseñas.

Claroc dijo que está ocultando todos los identificadores, incluidos nombres de host, títulos, cifras y enlaces, para que nada en su informe dirija a los lectores al contenido afectado, y que eliminará los datos de descubrimiento que almacenó cuando Meta confirme que tiene todo lo que necesita.