Meta sospende la condivisione delle chat di Muse dopo che i ricercatori trovano link nel DNS pubblico

Meta sta sospendendo la funzionalità di condivisione delle conversazioni tramite link nel suo agente IA Muse, dopo che la società di sicurezza Claroc ha trovato più di 6.800 nomi host di condivisioni di Muse, associati a titoli di conversazione leggibili, nei registri pubblici del DNS passivo, ha dichiarato Claroc in un aggiornamento del 20 ottobre 2026 sulla sua ricerca GhostShares.

Secondo l’aggiornamento, Meta ha detto ad Ars Technica che avrebbe sospeso la funzionalità dopo che la testata aveva chiesto informazioni sui risultati; Claroc ha dichiarato di essere «lieta di vederla chiusa così rapidamente». Il 20 ottobre 2026, quando Claroc ha ricontrollato 40 condivisioni che all’inizio del mese si erano aperte senza richiedere un account, nessuna si è aperta e i nomi host che ne servivano i contenuti hanno restituito un errore, ha riferito la società. I nomi host stessi, compresi i titoli delle conversazioni, restano nella cronologia del DNS passivo.

Claroc ha pubblicato la ricerca alla base della scoperta il 18 ottobre 2026, chiamando GhostShares le condivisioni individuabili: pagine accessibili anche a chi non ha mai ricevuto il link e che queste persone possono trovare autonomamente. Muse è stato lanciato l’8 settembre 2026 e, circa un mese dopo, Claroc ha condotto la ricerca su un insieme di dati del DNS passivo.

Come le chat condivise sono diventate reperibili

Muse pubblica una conversazione condivisa come una pagina accessibile a chiunque disponga del link, senza bisogno di accedere a un account; Muse consente di condividere le conversazioni solo tramite link. Secondo Claroc, Muse crea l’indirizzo web di ogni condivisione usando il titolo della conversazione e un ID casuale, ospitandolo su nomi host del dominio cf.metaaiusercontent.com, il dominio da cui Muse serve le condivisioni. Quando qualcuno apre una condivisione, il browser risolve quel nome host; i fornitori di DNS passivo i cui resolver rilevano la richiesta la registrano e la rendono reperibile, facendo così finire il titolo digitato dall’utente in un indice pubblico di nomi di dominio.

Claroc ha consultato un servizio commerciale di DNS passivo per il dominio dei contenuti di Muse e, dopo aver escluso il rumore generato dalle scansioni DNS wildcard, ha trovato più di 6.800 nomi host di condivisioni elencati per titolo. La società ne ha aperte solo alcune centinaia e ha riferito che quasi tutte le condivisioni ancora attive si aprivano immediatamente, senza richiedere un account. Il DNS passivo non era l’unico luogo in cui comparivano le condivisioni: secondo la ricerca, urlscan.io, un servizio pubblico di scansione degli URL consultabile da chiunque, conteneva già più di 75 scansioni salvate di pagine di condivisione di Muse.

Il file robots.txt di Muse chiede ai motori di ricerca e ai crawler di IA di non accedere ai percorsi delle condivisioni, ma Claroc ha sottolineato che robots.txt regola la scansione, non l’accesso, e che la sua ricerca non ha mai coinvolto un motore di ricerca. Ogni indirizzo contiene un ID casuale abbastanza lungo da non poter essere indovinato; tuttavia, la prima volta che qualcuno apre una condivisione, il DNS registra il nome host completo, ID compreso. Claroc ha affermato che esistono precedenti di questo tipo di fuga di dati: nel 2025, conversazioni di ChatGPT condivise sono comparse nei risultati di Google e OpenAI ha rimosso l’opzione che le rendeva indicizzabili; in seguito, Google ha indicizzato più di 370.000 conversazioni di Grok.

Cosa contenevano le pagine esposte

La maggior parte delle condivisioni aperte da Claroc era priva di particolari, ma una minoranza conteneva informazioni sensibili, ha dichiarato la società. Claroc ne ha descritte sei, indicando solo la categoria e omettendo nomi e link: gli appunti di un candidato in preparazione a una telefonata riservata, nell’ambito di una ricerca di dirigenti per un laboratorio di IA di frontiera, con il nome del contatto interno del laboratorio e l’orario dell’incontro; una revisione interna dei ricavi di una società nazionale di marketing, contrassegnata come destinata al CEO; la richiesta di prestito di un titolare di una piccola impresa, con l’importo richiesto; una lista di cose da fare contenente un avviso di frode bancaria, con parte del numero di conto e l’importo e l’orario di una transazione; un rapporto interno sui risultati di un investitore immobiliare, con gli indirizzi di due immobili e le cifre esatte relative a rendimenti, redditi e mutui; e il calendario annuale completo delle ferie del personale di un luogo di lavoro, con i nomi di decine di dipendenti e le settimane in cui ciascuno sarebbe stato assente.

Claroc ha dichiarato di aver raggiunto ogni pagina senza che le venisse fornito il relativo link, partendo da un insieme di dati sulle ricerche di domini e senza usare un account; ha inoltre precisato di non aver effettuato l’accesso, compilato moduli o caricato alcunché. Una pagina chiedeva una password e la società l’ha lasciata perdere. Ogni valutazione della gravità è stata formulata da una persona dopo aver letto la pagina, ha affermato la società. Claroc ha dichiarato di non avere prove che qualcuno abbia usato impropriamente le condivisioni, di non aver contattato le persone o le aziende coinvolte e che le due aziende i cui documenti sono stati trovati esistono davvero, come verificato tramite fonti pubbliche. Ha descritto i risultati come il prodotto di un solo canale di scoperta, un solo schema di nomi host e un solo prodotto, osservati in un breve periodo, e non come una misura dell’esposizione complessiva di Muse.

Cronologia della segnalazione e modello documentato da Meta

L’8 ottobre 2026 Claroc ha segnalato il problema al programma bug bounty di Meta, fornendo i passaggi per riprodurlo e alcuni esempi di condivisioni. Le verifiche dei contenuti sono state effettuate durante la raccolta, il 7 e l’8 ottobre 2026; il 18 ottobre 2026 Claroc ha riaperto una sola volta la condivisione degli appunti per la telefonata, e nessun’altra, per acquisire uno screenshot oscurato. Il DNS passivo ha mostrato che il sistema di condivisione continuava a generare nuovi nomi host: 27 il giorno dell’ultimo controllo di Claroc. La società ha descritto questo dato come un’ulteriore possibilità di scoperta, non come una nuova verifica dell’accesso.

La documentazione del Centro assistenza di Meta sulla condivisione di un link a una conversazione con un’IA afferma che «chiunque abbia il link potrà vedere la conversazione», che il link non scade e che può essere inoltrato da chi lo riceve. La conversazione viene acquisita nel momento in cui si crea il link e, eliminandolo, si interrompe l’accesso per chi lo aveva ricevuto. La pagina consiglia agli utenti di prestare attenzione quando condividono il link a una conversazione in cui hanno discusso di informazioni o circostanze personali. Claroc ha osservato che la pagina descrive Meta AI, non nello specifico Muse, ma l’ha definita la descrizione pubblicata più vicina a quella che Meta fornisce sul funzionamento di uno dei suoi link di condivisione dell’IA.

La documentazione sulla privacy e la sicurezza di Muse, pubblicata separatamente da Meta, afferma che la macchina virtuale nel cloud di ogni utente di Muse è isolata, così che nessun agente appartenente ad altri possa accedervi; che Muse non condivide le conversazioni né i dati delle macchine virtuali con i sistemi pubblicitari di Meta; e che le credenziali delle app collegate sono conservate in un archivio sicuro delle credenziali, che consente a Muse di completare le operazioni autorizzate senza che il modello di IA veda le password.

Claroc ha dichiarato che non divulgherà alcun identificativo, inclusi nomi host, titoli, cifre e link, affinché nulla nella sua segnalazione indirizzi i lettori verso i contenuti interessati, e che eliminerà i dati raccolti durante l’indagine una volta che Meta avrà confermato di avere tutto il necessario.