Meta keskeyttää Muse-keskustelujen jakamisen tutkijoiden löydettyä linkkejä julkisista DNS-tietueista

Meta keskeyttää keskustelulinkkien jakamistoiminnon Muse-tekoälyagentissaan, kun tietoturvayritys Claroc löysi julkisista passiivisen DNS:n tietueista yli 6 800 Muse-jakojen isäntänimeä, jotka oli lueteltu luettavien keskusteluotsikoiden perusteella, Claroc kertoi 20. lokakuuta 2026 julkaisemassaan GhostShares-tutkimuksensa päivityksessä.

Päivityksen mukaan Meta kertoi Ars Technicalle keskeyttävänsä ominaisuuden sen jälkeen, kun julkaisu tiedusteli löydöksistä. Claroc puolestaan sanoi olevansa ”iloinen, että ominaisuus suljettiin näin nopeasti”. Kun Claroc tarkisti 20. lokakuuta 2026 uudelleen 40 jakoa, jotka olivat avautuneet ilman käyttäjätiliä aiemmin samassa kuussa, yksikään niistä ei enää avautunut, ja niiden sisältöä palvelevat isäntänimet palauttivat virheen, yritys kertoi. Isäntänimet ja keskustelujen otsikot ovat kuitenkin edelleen passiivisen DNS:n historiatiedoissa.

Claroc julkaisi löydöksen taustalla olleen tutkimuksen 18. lokakuuta 2026 ja nimesi löydettävissä olevat jaot GhostSharesiksi: sivuiksi, jotka avautuvat ihmisille, joille linkkiä ei ole koskaan annettu ja jotka voivat löytää sivut itse. Muse julkaistiin 8. syyskuuta 2026, ja Claroc teki haun passiivisen DNS:n aineistosta noin kuukautta myöhemmin.

Miten jaetuista keskusteluista tuli löydettäviä

Muse julkaisee jaetun keskustelun sivuna, joka avautuu kaikille linkin haltijoille ilman kirjautumista, ja Muse-jakoja voi tehdä vain linkin avulla. Clarocin mukaan Muse muodostaa kunkin jaon verkko-osoitteen keskustelun omasta otsikosta ja satunnaisesta tunnisteesta. Osoite tarjotaan cf.metaaiusercontent.com-verkkotunnuksen alla olevista isäntänimistä; kyseessä on sisältöverkkotunnus, josta Muse tarjoilee jaot. Kun joku avaa jaon, selain selvittää kyseisen isäntänimen IP-osoitteen. Passiivisen DNS:n palveluntarjoajat, joiden nimipalvelimet havaitsevat kyselyn, tallentavat sen ja pitävät sen haettavissa, jolloin käyttäjän kirjoittama otsikko päätyy julkiseen verkkotunnusten hakemistoon.

Claroc haki Muse-sisältöverkkotunnusta yhdestä kaupallisesta passiivisen DNS:n palvelusta ja löysi villiä DNS:ää koskevien skannausten aiheuttaman kohinan suodatettuaan yli 6 800 otsikon perusteella lueteltua jakojen isäntänimeä. Yritys avasi niistä vain muutamia satoja ja kertoi lähes kaikkien toimivien jakojen avautuneen heti ilman käyttäjätiliä. Jaot tulivat esiin muuallakin kuin passiivisessa DNS:ssä: tutkimuksen mukaan julkiseen urlscan.io-URL-skannauspalveluun, jota kuka tahansa voi käyttää hakuihin, oli jo tallennettu yli 75 skannausta Muse-jakosivuista.

Muset robots.txt-tiedosto pyytää haku- ja tekoälyindeksoijia pysymään poissa jakopoluilta, mutta Claroc huomautti, että robots.txt ohjaa indeksointia eikä rajoita pääsyä. Lisäksi sen tekemä löytö ei ollut millään tavoin riippuvainen hakukoneista. Jokaisessa osoitteessa on satunnainen tunniste, joka on niin pitkä, ettei kukaan voisi arvata sitä, mutta kun joku avaa jaon ensimmäisen kerran, DNS-lokeihin tallentuu koko isäntänimi tunnisteineen. Clarocin mukaan tällaisista vuodoista on ennakkotapauksia: vuonna 2025 jaetut ChatGPT-keskustelut tulivat näkyviin Googlen hakutuloksissa, minkä jälkeen OpenAI poisti ominaisuuden, joka mahdollisti niiden indeksoinnin. Myöhemmin Google indeksoi yli 370 000 Grok-keskustelua.

Mitä paljastuneet sivut sisälsivät

Useimmat Clarocin avaamista jaoista olivat tavanomaisia, mutta pieni osa sisälsi arkaluonteisia tietoja, yritys kertoi. Se kuvaili kuutta tapausta pelkän luokan perusteella ja jätti nimet ja linkit kertomatta: ehdokkaan muistiinpanot valmistautumisesta luottamukselliseen johtajahakua koskevaan puheluun huipputason tekoälylaboratorion kanssa; muistiinpanoissa mainittiin laboratorion sisäinen yhteyshenkilö ja tapaamisen ajankohta; kansallisen markkinointiyhtiön sisäinen liikevaihtokatsaus, joka oli merkitty toimitusjohtajalle; pienyrittäjän lainahakemus, jossa ilmoitettiin haettu summa; tehtävälista, jossa oli pankin petosvaroitus, osittainen tilinumero sekä tapahtuman summa ja ajankohta; kiinteistösijoittajan sisäinen tulosraportti, jossa oli kahden kiinteistön osoitteet sekä tarkat tuotto-, tulo- ja asuntolainatiedot; ja työpaikan koko vuoden kattava henkilöstön lomakalenteri, jossa oli lueteltu kymmeniä työntekijöitä ja viikot, joina kukin oli poissa.

Claroc kertoi päässeensä jokaiselle sivulle ilman, että sille oli annettu linkkiä, käyttämällä verkkotunnushakujen aineistoa ilman käyttäjätiliä. Yritys ei kirjautunut sisään, täyttänyt lomaketta eikä ladannut mitään; yksi sivu pyysi salasanaa, eikä yritys jatkanut sen tutkimista. Yrityksen mukaan jokaisen tapauksen vakavuusarvion teki sivua lukeva ihminen. Claroc kertoi, ettei sillä ole näyttöä siitä, että joku olisi käyttänyt jakoja väärin, ettei se ottanut yhteyttä asiaan liittyviin ihmisiin tai yrityksiin ja että löytöön sisältyneiden asiakirjojen kaksi yritystä ovat todellisia, minkä se vahvisti julkisista lähteistä. Se luonnehti havaintojaan yhdeksi löytökanavaksi, yhdeksi isäntänimikäytännöksi ja yhdeksi tuotteeksi lyhyellä ajanjaksolla, ei arvioksi Musen tietojen koko laajuudesta.

Ilmoitusaikajana ja Metan dokumentoitu toimintamalli

Claroc ilmoitti ongelmasta Metan bug bounty -ohjelmaan 8. lokakuuta 2026 ja toimitti samalla ongelman toistamiseen tarvittavat vaiheet sekä esimerkkijakoja. Sisältötarkistukset tehtiin aineiston keruun yhteydessä 7. ja 8. lokakuuta 2026. Lokakuun 18. päivänä 2026 Claroc avasi uudelleen kerran puheluun valmistautumista koskevan jaon, mutta ei muita jakoja, saadakseen siitä peitettyjä tietoja sisältävän kuvakaappauksen. Passiivisen DNS:n tiedot osoittivat, että jakamisominaisuus loi edelleen uusia isäntänimiä: 27 sinä päivänä, jolloin Claroc viimeksi tarkisti tilanteen. Yritys kuvaili tätä löytämisen jatkumiseksi, ei uudelleen vahvistetuksi pääsyksi.

Metan ohjekeskuksen dokumentaatiossa, joka käsittelee linkin jakamista tekoälykeskusteluun, todetaan, että ”linkin saaneet näkevät keskustelusi”, että linkki ei vanhene ja että linkin saaneet voivat jakaa sitä edelleen. Keskustelu tallentuu sellaisena kuin se on linkin luomishetkellä, ja linkin poistaminen estää sen saaneita käyttämästä sitä. Sivulla kehotetaan käyttäjiä harkitsemaan tarkkaan, ennen kuin he jakavat linkin keskusteluun, jossa on käsitelty henkilökohtaisia tietoja tai olosuhteita. Claroc huomautti, että sivun dokumentaatio koskee Meta AI:tä eikä nimenomaan Musea, mutta kuvaili sitä lähimmäksi julkaistuksi kuvaukseksi siitä, miten jokin Metan tekoälyjakolinkeistä toimii.

Metan erillisessä Musea koskevassa tietosuoja- ja tietoturvadokumentaatiossa todetaan, että jokaisen Muse-käyttäjän pilvivirtuaalikone on eristetty niin, ettei kenenkään muun agentti pääse siihen käsiksi, ettei Muse jaa keskusteluja tai virtuaalikoneen tietoja Metan mainosjärjestelmien kanssa ja että yhdistettyjen sovellusten tunnistetiedot säilytetään suojattujen tunnistetietojen säilössä, jonka avulla Muse voi suorittaa valtuutettuja toimintoja ilman, että tekoälymalli näkee salasanoja.

Claroc kertoi jättävänsä pois kaikki tunnistetiedot, kuten isäntänimet, otsikot, luvut ja linkit, jotta mikään sen raportissa ei ohjaisi lukijoita kyseisen sisällön pariin. Se kertoi myös poistavansa tallentamansa löydöstiedot, kun Meta vahvistaa saaneensa tarvitsemansa tiedot.