研究者が公開DNSでリンクを発見、MetaがMuseのチャット共有を停止

セキュリティ企業Clarocが、会話のタイトルが読める状態で公開パッシブDNS記録に登録されたMuseの共有用ホスト名を6,800件以上発見したことを受け、MetaはMuse AIエージェントの会話リンク共有機能を停止すると、Clarocは2026年10月20日付のGhostSharesに関する調査の更新で明らかにした。

更新によると、Metaは調査結果についてArs Technicaから問い合わせを受けた後、この機能を停止すると同誌に伝えた。Clarocは「これほど早く停止されたことをうれしく思う」と述べた。同社によると、2026年10月20日に、同月初めにはアカウントなしで開けた共有リンク40件を再確認したところ、開けるものは一つもなく、コンテンツを配信していたホスト名はエラーを返した。一方、会話のタイトルを含むホスト名そのものは、パッシブDNSの履歴に残っている。

Clarocは2026年10月18日、調査の詳細を公表し、リンクを渡されていない人でも開くことができ、自分で見つけられるページを「GhostShares」と名付けた。Museは2026年9月8日に公開され、Clarocは約1カ月後にパッシブDNSデータセットを検索した。

共有チャットが検索可能になった経緯

Museでは、共有した会話がリンクを持つ人なら誰でもログインなしで開けるページとして公開され、共有方法はリンクに限られている。Clarocによると、Museは会話自体のタイトルとランダムなIDを組み合わせて共有ページのウェブアドレスを作成し、Museが共有コンテンツの配信に使うドメインcf.metaaiusercontent.com配下のホスト名から提供している。共有ページを誰かが開くと、ブラウザーはそのホスト名を名前解決する。その照会をリゾルバーが観測したパッシブDNS事業者は記録を保存し、検索可能な状態にする。その結果、ユーザーが入力したタイトルがドメイン名の公開インデックスに登録される。

Clarocは、Museのコンテンツ用ドメインについて、商用パッシブDNSサービスを一つ検索した。ワイルドカードDNSのスキャンによるノイズを除外した結果、タイトルが表示された共有用ホスト名を6,800件以上発見したという。同社が開いたのはそのうち数百件にすぎなかったが、稼働中の共有ページはほぼすべて、アカウントなしで開いたという。調査によると、共有ページが見つかったのはパッシブDNSだけではない。誰でも検索できる公開URLスキャンサービスurlscan.ioには、Museの共有ページをスキャンした記録がすでに75件以上保存されていた。

Museのrobots.txtは、検索クローラーやAIクローラーに共有ページのパスへアクセスしないよう求めている。しかしClarocは、robots.txtが規定するのはクロールであり、アクセスそのものではないと指摘した。同社の調査では、検索エンジンには一切アクセスしていない。各アドレスには、誰にも推測できないほど長いランダムIDが含まれている。それでも、共有ページが初めて開かれた時点で、IDを含む完全なホスト名がDNSに記録される。Clarocによると、この種の情報漏えいには前例がある。2025年には、共有されたChatGPTの会話がGoogleの検索結果に表示され、OpenAIは会話をインデックス登録可能にする機能を削除した。その後、GoogleはGrokの会話を37万件以上インデックス登録した。

公開されたページに含まれていた情報

Clarocが開いた共有ページの大半は特筆すべき内容ではなかったが、一部には機微な情報が含まれていたという。同社は、名前やリンクを伏せ、カテゴリーのみを示して6件を紹介した。最先端AI研究所との非公開の幹部人材紹介に関する電話会議に備えた候補者のメモで、研究所内の連絡担当者と会議の時刻が記されていたもの、CEO向けと記された全国規模のマーケティング会社の社内売上レビュー、小規模事業者の融資申請書で希望額が記載されたもの、口座番号の一部と取引額および時刻を含む銀行の不正利用警告が記されたToDoリスト、不動産投資家の社内業績報告書で2件の物件住所と正確な利回り、収入、住宅ローンの数値が記載されたもの、そして職場の年間休暇予定表で、数十人の従業員と各人の休暇予定週が一覧になったものだった。

Clarocによると、同社はリンクを渡されることなく、アカウントを必要としないドメイン照会データセットを使ってすべてのページに到達した。また、ログインも、フォームへの入力も、何かのアップロードもしていないという。パスワードを求めるページが一つあったが、同社はそこで操作をやめた。深刻度の判断はすべて、担当者がページを読んで行ったと同社は述べた。Clarocは、共有ページが悪用された証拠はないとし、関係する個人や企業には連絡していないと説明した。また、文書を発見した2社が実在することは、公開情報に照らして確認したという。同社は調査結果について、短期間における一つの発見経路、一つのホスト名パターン、一つの製品に関するものと位置づけ、Museの情報露出全体を示すものではないとした。

開示までの経緯とMetaが公表している仕組み

Clarocは2026年10月8日、再現手順と共有ページの例を添えて、Metaのバグ報奨金プログラムに問題を報告した。コンテンツの確認は、データ収集を行った2026年10月7日と8日に実施した。2026年10月18日には、電話会議の準備に関する共有ページだけを一度再び開き、個人情報を伏せたスクリーンショットを撮影した。パッシブDNSの記録からは、共有機能の層で新しいホスト名の生成が続いており、Clarocが最後に確認した日には27件あったことが分かった。同社はこれを、アクセスを再検証した結果ではなく、引き続き発見できたことを示すものと説明した。

Metaのヘルプセンターのドキュメントには、AIとの会話へのリンクを共有すると「リンクを持っている人は会話を見ることができます」と記載されています。また、リンクに有効期限はなく、受け取った人がさらにほかの人へ共有することもできます。リンクを作成した時点の会話内容が保存され、リンクを削除すると、リンクを受け取った人はアクセスできなくなります。このページでは、個人情報や個人的な事情について話した会話へのリンクを共有する際は慎重になるよう、ユーザーに呼びかけています。Clarocは、このページがMuseではなくMeta AIについて説明したものだと指摘したうえで、MetaがAI共有リンクの挙動について公開している説明としては、これが最も近いものだと述べました。

Metaの別のMuseのプライバシーとセキュリティに関するドキュメントには、Museユーザーごとにクラウド仮想マシンが分離され、ほかのユーザーのエージェントからアクセスできないこと、Museは会話や仮想マシンのデータをMetaの広告システムと共有しないことが記載されています。また、連携アプリの認証情報はSecure Credentials Storeに保存され、AIモデルにパスワードを見せることなく、Museが許可された操作を実行できるようになっています。

Clarocは、ホスト名、タイトル、数値、リンクを含むあらゆる識別情報を伏せ、報告書のどの部分からも影響を受けたコンテンツにたどり着けないようにしていると述べました。また、Metaが必要な情報を受け取ったと確認した時点で、保存している調査データを削除するとのことです。