Meta stanser deling av Muse-samtaler etter at forskere finner lenker i offentlig DNS

Meta stanser funksjonen for deling av samtalelenker i sin Muse AI-agent etter at sikkerhetsfirmaet Claroc fant mer enn 6 800 Muse-vertsnavn oppført med lesbare samtaletitler i offentlige passiv-DNS-poster, opplyste Claroc i en oppdatering av sin GhostShares-undersøkelse 20. oktober 2026.

Ifølge oppdateringen fortalte Meta Ars Technica at de stanset funksjonen etter at nettstedet spurte om funnene, og Claroc sa at de var «glade for å se at den ble stengt så raskt». Da Claroc 20. oktober 2026 sjekket 40 delinger på nytt som tidligere samme måned hadde åpnet uten konto, åpnet ingen av dem, og vertsnavnene som leverte innholdet, ga en feilmelding, opplyste firmaet. Selve vertsnavnene, inkludert samtaletitlene, finnes fortsatt i passiv-DNS-historikken.

Claroc publiserte den underliggende undersøkelsen 18. oktober 2026 og kalte de søkbare delingene GhostShares: sider som åpnes for personer som aldri har fått lenken, og som disse personene kan finne på egen hånd. Muse ble lansert 8. september 2026, og Claroc søkte i et passiv-DNS-datasett omtrent en måned senere.

Slik ble delte samtaler søkbare

Muse publiserer en delt samtale som en side som åpnes for alle som har lenken, uten innlogging, og Muse deler bare via lenke. Ifølge Claroc lager Muse nettadressen til hver deling ut fra samtalens egen tittel pluss en tilfeldig ID, og den leveres fra vertsnavn under cf.metaaiusercontent.com, innholdsdomene Muse bruker til å levere delingene fra. Når noen åpner en deling, slår nettleseren opp vertsnavnet, og leverandører av passiv DNS som har navneoppløsere som registrerer oppslaget, logger det og gjør det søkbart. Dermed havner tittelen brukeren skrev inn, i en offentlig indeks over domenenavn.

Claroc søkte i én kommersiell passiv-DNS-tjeneste etter Musess innholdsdomene og fant, etter å ha filtrert bort støy fra skanning av jokertegn i DNS, mer enn 6 800 delingsvertsnavn oppført med tittel. Firmaet åpnet bare noen hundre av dem og opplyste at nesten alle delingene som fortsatt var aktive, åpnet umiddelbart, uten konto. Passiv DNS var ikke det eneste stedet delingene dukket opp: urlscan.io, en offentlig tjeneste for URL-skanning som alle kan søke i, hadde allerede lagret mer enn 75 skanninger av Muse-delingssider, ifølge undersøkelsen.

Musess robots.txt ber søkemotorer og AI-roboter om å holde seg unna delingsstiene, men Claroc påpekte at robots.txt regulerer skanning, ikke tilgang, og at de ikke var i nærheten av noen søkemotor da de gjorde oppdagelsen. Hver adresse har en tilfeldig ID som er så lang at ingen kunne gjette den, men første gang noen åpner en deling, registrerer DNS hele vertsnavnet, inkludert ID-en. Claroc sa at denne typen lekkasje har skjedd før: I 2025 dukket delte ChatGPT-samtaler opp i Google-resultater, og OpenAI fjernet funksjonen som gjorde dem søkbare. Senere indekserte Google mer enn 370 000 Grok-samtaler.

Hva de eksponerte sidene inneholdt

De fleste delingene Claroc åpnet, var udramatiske, men noen få inneholdt sensitiv informasjon, opplyste firmaet. Claroc beskrev seks eksempler bare etter kategori og holdt tilbake navn og lenker: notater fra en kandidat som forberedte seg til en konfidensiell samtale om lederrekruttering med et ledende AI-laboratorium, med navnet på laboratoriets interne kontaktperson og tidspunktet for møtet; en intern inntektsgjennomgang i et nasjonalt markedsføringsselskap, merket for administrerende direktør; en småbedriftseiers lånesøknad med det søkte beløpet; en gjøremålsliste med et varsel om banksvindel, delvis kontonummer og beløp og tidspunkt for en transaksjon; en eiendomsinvestors interne resultatrapport med to eiendomsadresser og nøyaktige tall for avkastning, inntekt og boliglån; og en arbeidsplass’ ferieoversikt for ansatte for hele året, med dusinvis av ansatte oppført sammen med ukene de skulle være borte.

Claroc sa at de kom til hver side uten å få lenken, ved å bruke et datasett over domeneoppslag uten konto, og at de ikke logget inn, fylte ut et skjema eller lastet opp noe. Én side ba om et passord, og firmaet lot den være. Alle vurderinger av alvorlighetsgrad ble gjort av en person som leste siden, opplyste firmaet. Claroc sa at de ikke har bevis for at noen misbrukte delingene, at de ikke kontaktet de involverte personene eller selskapene, og at de to selskapene som dokumentene tilhørte, er reelle og ble bekreftet gjennom offentlige kilder. Firmaet beskrev funnene som resultatet av én oppdagelseskanal, ett mønster for vertsnavn og ett produkt over en kort periode, ikke som et mål på den samlede eksponeringen til Muse.

Tidslinje for varsling og Metas dokumenterte modell

Claroc rapporterte problemet til Metas program for feilpremier 8. oktober 2026, med fremgangsmåte for å gjenskape problemet og eksempler på delinger. Innholdskontrollene ble utført under innsamlingen 7. og 8. oktober 2026. Den 18. oktober 2026 åpnet firmaet delingen med forberedelser til samtalen på nytt én gang, og ingen andre, for å ta et sladdet skjermbilde. Passiv DNS viste at delingsnivået fortsatt opprettet nye vertsnavn, 27 den dagen Claroc sist undersøkte saken. Firmaet beskrev dette som fortsatt oppdagelse, ikke som bekreftet tilgang på nytt.

Metas dokumentasjon i hjelpesenteret om deling av en lenke til en KI-samtale sier at «personer med lenken kan se samtalen din», at lenken ikke utløper, og at personer kan dele lenken videre. Samtalen fanges opp slik den er når lenken opprettes, og når lenken slettes, mister de som har mottatt den, tilgangen. Siden råder brukerne til å være varsomme når de deler en lenke til en samtale der de har diskutert personopplysninger eller personlige forhold. Claroc påpekte at siden dokumenterer Meta AI, ikke Muse spesifikt, men beskrev den som den nærmeste publiserte beskrivelsen Meta gir av hvordan en av KI-delingslenkene deres fungerer.

Metas separate dokumentasjon om personvern og sikkerhet for Muse sier at hver Muse-brukers virtuelle maskin i skyen er isolert, slik at ingen andres agent får tilgang til den, at Muse ikke deler samtaler eller data fra virtuelle maskiner med Metas annonsesystemer, og at påloggingsinformasjon for tilkoblede apper lagres i et Secure Credentials Store, slik at Muse kan utføre autoriserte handlinger uten at KI-modellen får se passordene.

Claroc sa at de holder tilbake alle identifikatorer, inkludert vertsnavn, titler, tall og lenker, slik at ingenting i rapporten deres leder leserne til berørt innhold, og at de vil slette de lagrede oppdagelsesdataene når Meta bekrefter at de har det de trenger.