Meta zawiesza udostępnianie rozmów w Muse po tym, jak badacze znaleźli odnośniki w publicznym DNS

Meta zawiesza funkcję udostępniania linków do rozmów w swoim agencie AI Muse po tym, jak firma zajmująca się bezpieczeństwem Claroc znalazła w publicznych rekordach pasywnego DNS ponad 6800 nazw hostów udostępniających rozmowy, którym przypisano czytelne tytuły. Claroc poinformowała o tym w aktualizacji z 20 października 2026 r. dotyczącej swoich badań GhostShares.

Jak wynika z aktualizacji, Meta poinformowała Ars Technica, że zawiesza tę funkcję, gdy redakcja zapytała o ustalenia, a Claroc stwierdziła, że „cieszy się, że tak szybko ją wyłączono”. Firma podała, że gdy 20 października 2026 r. ponownie sprawdziła 40 linków do udostępnionych rozmów, które na początku miesiąca otwierały się bez logowania, żaden z nich już nie działał, a hosty udostępniające ich treść zwracały błąd. Same nazwy hostów, wraz z tytułami rozmów, nadal pozostają w historii pasywnego DNS.

Claroc opublikowała wyniki badań 18 października 2026 r., nazywając łatwe do odnalezienia udostępnione rozmowy GhostShares: są to strony dostępne dla osób, którym nikt nie przekazał linku, a które mogą je znaleźć samodzielnie. Muse uruchomiono 8 września 2026 r., a Claroc przeszukała zbiór danych pasywnego DNS około miesiąc później.

Jak udostępnione rozmowy stały się możliwe do odnalezienia

Muse publikuje udostępnioną rozmowę jako stronę, którą może otworzyć każdy, kto ma link, bez logowania; rozmowy w Muse udostępnia się wyłącznie za pomocą linku. Według Claroc adres internetowy każdej udostępnionej rozmowy składa się z jej tytułu oraz losowego identyfikatora, a strona jest hostowana pod nazwą z domeny cf.metaaiusercontent.com, z której Muse udostępnia rozmowy. Gdy ktoś otwiera udostępnioną rozmowę, przeglądarka odpyta tę nazwę hosta, a dostawcy pasywnego DNS, których serwery nazw odnotują zapytanie, zapisują je i udostępniają do wyszukiwania. W ten sposób tytuł wpisany przez użytkownika trafia do publicznego indeksu nazw domen.

Claroc przeszukała jedną komercyjną usługę pasywnego DNS pod kątem domeny, z której Muse udostępnia treści, i po odfiltrowaniu szumu związanego ze skanowaniem wildcard DNS znalazła ponad 6800 nazw hostów udostępniających rozmowy, którym przypisano tytuły. Firma otworzyła zaledwie kilkaset z nich i podała, że niemal każda aktywna strona otwierała się od razu, bez logowania. Udostępnione rozmowy pojawiły się także poza pasywnym DNS: według badań publiczna usługa skanowania adresów URL urlscan.io, z której każdy może skorzystać, miała już zapisanych ponad 75 skanów stron z udostępnionymi rozmowami Muse.

Plik robots.txt Muse prosi roboty wyszukiwarek i narzędzia AI, by nie odwiedzały ścieżek z udostępnionymi rozmowami, ale Claroc zauważyła, że robots.txt reguluje indeksowanie, a nie dostęp, a jej odkrycie nie miało nic wspólnego z wyszukiwarką. Każdy adres zawiera losowy identyfikator na tyle długi, że nikt nie byłby w stanie go odgadnąć. Jednak gdy ktokolwiek po raz pierwszy otwiera udostępnioną rozmowę, DNS rejestruje pełną nazwę hosta, łącznie z identyfikatorem. Claroc stwierdziła, że podobne wycieki zdarzały się już wcześniej: w 2025 r. udostępnione rozmowy ChatGPT pojawiły się w wynikach Google, a OpenAI usunęła opcję umożliwiającą ich indeksowanie; później Google zaindeksowało ponad 370 000 rozmów Grok.

Co zawierały ujawnione strony

Większość udostępnionych rozmów, które otworzyła Claroc, nie zawierała niczego niezwykłego, ale niewielka część obejmowała poufne informacje — podała firma. Opisała sześć przypadków, podając wyłącznie ich kategorie, bez nazw i linków: notatki kandydata przygotowującego się do poufnej rozmowy w ramach rekrutacji na stanowisko kierownicze w wiodącym laboratorium AI, zawierające nazwisko wewnętrznej osoby kontaktowej z laboratorium i godzinę spotkania; wewnętrzne podsumowanie przychodów krajowej firmy marketingowej, przeznaczone dla jej dyrektora generalnego; wniosek właściciela małej firmy o pożyczkę, z podaną wnioskowaną kwotą; lista zadań zawierająca ostrzeżenie banku o oszustwie, częściowy numer rachunku oraz kwotę i godzinę transakcji; wewnętrzny raport inwestora na rynku nieruchomości o wynikach, zawierający adresy dwóch nieruchomości oraz dokładne dane dotyczące stóp zwrotu, przychodów i kredytów hipotecznych; a także całoroczny kalendarz urlopów pracowników w miejscu pracy, wymieniający dziesiątki osób i tygodnie, w których każda z nich miała być nieobecna.

Claroc podała, że dotarła do każdej strony bez otrzymania linku, korzystając ze zbioru danych o zapytaniach dotyczących domen i bez logowania. Firma nie logowała się do żadnego serwisu, nie wypełniała formularzy ani niczego nie przesyłała; jedna ze stron wymagała podania hasła, więc Claroc ją opuściła. Firma stwierdziła, że każdą ocenę wagi problemu wystawił człowiek po przeczytaniu strony. Claroc poinformowała, że nie ma dowodów na niewłaściwe wykorzystanie udostępnionych rozmów, nie kontaktowała się z zaangażowanymi osobami ani firmami, a dwie firmy, których dokumenty znalazła, istnieją — potwierdziła to na podstawie publicznych źródeł. Firma określiła swoje ustalenia jako wynik jednego sposobu odkrywania stron, jednego wzorca nazw hostów i jednego produktu w krótkim okresie, a nie jako miarę całkowitego narażenia Muse na ujawnienie danych.

Harmonogram ujawnienia problemu i udokumentowany model działania Meta

8 października 2026 r. Claroc zgłosiła problem do programu bug bounty Meta, podając instrukcje odtworzenia sytuacji i przykładowe udostępnione rozmowy. Kontrolę treści przeprowadzono podczas gromadzenia danych 7 i 8 października 2026 r. 18 października 2026 r. firma ponownie otworzyła udostępnioną rozmowę zawierającą przygotowania do rozmowy rekrutacyjnej — tylko tę jedną, żadnej innej — aby wykonać zrzut ekranu z ukrytymi danymi. Pasywny DNS wykazał, że warstwa udostępniania nadal tworzyła nowe nazwy hostów; w dniu, w którym Claroc ostatnio to sprawdzała, było ich 27. Firma określiła to jako dalsze odkrywanie stron, a nie ponowne potwierdzenie dostępu.

Dokumentacja Meta w Centrum pomocy dotycząca udostępniania linku do rozmowy z AI informuje, że „osoby mające link będą mogły zobaczyć rozmowę”, link nie wygasa, a jego odbiorcy mogą udostępniać go dalej. Rozmowa zostaje zapisana w chwili utworzenia linku, a jego usunięcie odbiera dostęp osobom, które go otrzymały. Strona zaleca ostrożność przy udostępnianiu linku do rozmowy, w której omawiano dane osobowe lub osobiste okoliczności. Claroc zauważyło, że strona opisuje Meta AI, a nie konkretnie Muse, ale uznało ją za najbliższy opublikowany opis tego, jak Meta przedstawia działanie jednego ze swoich linków do udostępniania rozmów z AI.

Osobna dokumentacja Meta dotycząca prywatności i bezpieczeństwa Muse informuje, że maszyna wirtualna każdego użytkownika Muse w chmurze jest odizolowana, tak aby agent żadnego innego użytkownika nie miał do niej dostępu; Muse nie udostępnia rozmów ani danych z maszyn wirtualnych systemom reklamowym Meta; a dane logowania do połączonych aplikacji są przechowywane w Secure Credentials Store, dzięki czemu Muse może wykonywać autoryzowane działania, nie ujawniając haseł modelowi AI.

Claroc poinformowało, że nie ujawnia żadnych identyfikatorów, w tym nazw hostów, tytułów, wartości liczbowych ani linków, aby żaden element raportu nie kierował czytelników do treści, których dotyczy problem. Firma usunie przechowywane dane zebrane podczas poszukiwań, gdy Meta potwierdzi, że ma już wszystko, czego potrzebuje.