Meta schort het delen van Muse-chats op nadat onderzoekers links in openbare DNS-gegevens aantreffen

Meta schort de functie voor het delen van gesprekslinks in zijn Muse AI-agent op nadat beveiligingsbedrijf Claroc meer dan 6.800 hostnamen van gedeelde Muse-gesprekken aantrof in openbare passieve-DNS-records, vermeld onder leesbare gesprekstitels. Dat meldde Claroc op 20 oktober 2026 in een update over zijn GhostShares-onderzoek.

Volgens de update vertelde Meta aan Ars Technica dat het de functie opschortte nadat het medium vragen had gesteld over de bevindingen. Claroc zei dat het „blij was dat de functie zo snel werd uitgeschakeld”. Toen Claroc op 20 oktober 2026 opnieuw 40 gedeelde gesprekken controleerde die eerder die maand zonder account toegankelijk waren, kon geen enkel gesprek meer worden geopend en gaven de hostnamen waarop de inhoud stond een foutmelding, aldus het bedrijf. De hostnamen zelf, inclusief de gesprekstitels, blijven in de geschiedenis van passieve DNS staan.

Claroc publiceerde het onderliggende onderzoek op 18 oktober 2026 en noemde de vindbare gedeelde gesprekken GhostShares: pagina’s die kunnen worden geopend door mensen aan wie de link nooit is gegeven en die ze zelf kunnen opsporen. Muse werd gelanceerd op 8 september 2026. Ongeveer een maand later doorzocht Claroc een dataset met passieve DNS.

Hoe gedeelde chats vindbaar werden

Muse publiceert een gedeeld gesprek als een pagina die iedereen met de link kan openen, zonder in te loggen. Muse deelt gesprekken uitsluitend via een link. Volgens Claroc stelt Muse voor elke gedeelde pagina een webadres samen uit de titel van het gesprek en een willekeurige ID. De pagina wordt aangeboden via hostnamen onder cf.metaaiusercontent.com, het inhoudsdomein dat Muse gebruikt voor gedeelde gesprekken. Wanneer iemand zo’n pagina opent, zoekt de browser het IP-adres op dat bij de hostnaam hoort. Aanbieders van passieve DNS waarvan de resolvers die opvraging waarnemen, leggen die vast en houden de informatie doorzoekbaar. Zo belandt de titel die een gebruiker heeft ingevoerd in een openbare index van domeinnamen.

Claroc doorzocht één commerciële dienst voor passieve DNS op het inhoudsdomein van Muse en vond, na het wegfilteren van ruis door scans van wildcard-DNS, meer dan 6.800 hostnamen van gedeelde gesprekken die op titel waren vermeld. Het bedrijf opende er slechts een paar honderd en zei dat vrijwel elke nog actieve pagina meteen toegankelijk was, zonder account. De gedeelde gesprekken doken niet alleen op in passieve DNS: volgens het onderzoek bevatte urlscan.io, een openbare dienst voor het scannen van URL’s die iedereen kan raadplegen, al meer dan 75 opgeslagen scans van Muse-pagina’s.

In het bestand robots.txt van Muse staat dat zoekmachinecrawlers en AI-crawlers de paden naar gedeelde gesprekken moeten mijden. Claroc merkte echter op dat robots.txt regels stelt voor het crawlen, niet voor de toegang, en dat het bedrijf de gesprekken ontdekte zonder ook maar in de buurt van een zoekmachine te komen. Elk adres bevat een willekeurige ID die lang genoeg is om niet te kunnen raden. Toch registreert DNS de volledige hostnaam, inclusief de ID, zodra iemand een gedeeld gesprek voor het eerst opent. Volgens Claroc is dit soort lekken niet zonder precedent: in 2025 verschenen gedeelde ChatGPT-gesprekken in de zoekresultaten van Google en verwijderde OpenAI de optie waardoor ze konden worden geïndexeerd. Later indexeerde Google meer dan 370.000 Grok-gesprekken.

Wat de blootgestelde pagina’s bevatten

De meeste gedeelde gesprekken die Claroc opende, bevatten niets bijzonders, maar een klein deel was gevoelig, aldus het bedrijf. Claroc beschreef er zes, uitsluitend aan de hand van categorieën, en maakte geen namen of links bekend: aantekeningen van een kandidaat ter voorbereiding op een vertrouwelijk gesprek over een directiefunctie bij een vooraanstaand AI-laboratorium, met de naam van de interne contactpersoon van het laboratorium en het tijdstip van de afspraak; een interne omzetbeoordeling van een nationaal marketingbedrijf, bestemd voor de CEO; een kredietaanvraag van een eigenaar van een klein bedrijf, met het aangevraagde bedrag; een takenlijst met een fraudewaarschuwing van een bank, inclusief een gedeeltelijk rekeningnummer en het bedrag en tijdstip van een transactie; een intern prestatierapport van een vastgoedbelegger, met de adressen van twee panden en exacte cijfers over rendement, inkomsten en hypotheken; en een jaarkalender met de vakanties van het personeel van een werkplek, waarin tientallen medewerkers waren gekoppeld aan de weken waarin zij afwezig zouden zijn.

Claroc zei dat het elke pagina kon bereiken zonder dat iemand de link had verstrekt. Het werkte met een dataset met domeinopvragingen en had geen account. Het bedrijf logde nergens in, vulde geen formulier in en uploadde niets; één pagina vroeg om een wachtwoord en die liet Claroc met rust. Iedere beoordeling van de ernst was gebaseerd op een persoon die de pagina las, aldus het bedrijf. Claroc verklaarde geen aanwijzingen te hebben dat iemand misbruik had gemaakt van de gedeelde gesprekken, dat het geen contact had opgenomen met de betrokken personen of bedrijven, en dat de twee bedrijven waarvan het documenten had gevonden echt bestaan, wat het aan de hand van openbare bronnen had bevestigd. Het omschreef de bevindingen als één ontdekkingskanaal, één patroon in hostnamen en één product gedurende een korte periode, en niet als een meting van de totale blootstelling van Muse.

Tijdlijn van de melding en het gedocumenteerde model van Meta

Claroc meldde het probleem op 8 oktober 2026 bij het bugbountyprogramma van Meta en leverde stappen om het probleem te reproduceren en voorbeelden van gedeelde gesprekken aan. De inhoud werd gecontroleerd tijdens het verzamelen van gegevens op 7 en 8 oktober 2026. Op 18 oktober 2026 opende Claroc de gedeelde pagina met de voorbereiding op het gesprek nog één keer, en geen enkele andere pagina, om een geredigeerde schermafbeelding te maken. Uit passieve DNS bleek dat er binnen het systeem voor gedeelde gesprekken nog steeds nieuwe hostnamen werden aangemaakt: 27 op de dag waarop Claroc voor het laatst keek. Het bedrijf omschreef dit als een voortgaande ontdekking, niet als opnieuw bevestigde toegang.

In Meta’s documentatie in het Helpcentrum over het delen van een link naar een AI-gesprek staat dat “mensen met de link je gesprek kunnen zien”, dat de link niet verloopt en dat mensen de link verder kunnen delen. Het gesprek wordt vastgelegd op het moment waarop de link wordt aangemaakt, en door de link te verwijderen wordt de toegang afgesloten voor mensen die hem hebben ontvangen. De pagina adviseert gebruikers zorgvuldig te zijn wanneer ze een link delen naar een gesprek waarin ze persoonlijke informatie of omstandigheden hebben besproken. Claroc merkte op dat de pagina documentatie over Meta AI bevat, en niet specifiek over Muse, maar omschreef die als de meest vergelijkbare gepubliceerde beschrijving van Meta van de werking van een van zijn AI-deellinks.

In Meta’s afzonderlijke documentatie over de privacy en beveiliging van Muse staat dat de virtuele machine in de cloud van elke Muse-gebruiker is geïsoleerd, zodat de agent van niemand anders er toegang toe heeft, dat Muse gesprekken of gegevens van virtuele machines niet deelt met de advertentiesystemen van Meta, en dat inloggegevens voor gekoppelde apps zijn opgeslagen in een Secure Credentials Store. Daarmee kan Muse geautoriseerde acties uitvoeren zonder dat het AI-model de wachtwoorden ziet.

Claroc zei dat het alle identificerende gegevens achterhoudt, waaronder hostnamen, titels, cijfers en links, zodat niets in het rapport lezers naar getroffen content verwijst. Ook zei het bedrijf dat het de opgeslagen ontdekkingsgegevens verwijdert zodra Meta bevestigt dat het heeft wat het nodig heeft.