Meta suspende o compartilhamento de conversas do Muse após pesquisadores encontrarem links em registros públicos de DNS

A Meta está suspendendo o recurso de compartilhamento de links de conversas em seu agente de IA Muse depois que a empresa de segurança Claroc encontrou mais de 6.800 nomes de host de compartilhamentos do Muse, listados por título legível da conversa em registros públicos de DNS passivo, informou a Claroc em uma atualização de 20 de outubro de 2026 de sua pesquisa GhostShares.

Segundo a atualização, a Meta informou à Ars Technica que estava suspendendo o recurso depois que o veículo perguntou sobre as descobertas, e a Claroc disse que ficou «satisfeita em ver que ele foi desativado tão rapidamente». Ao verificar novamente, em 20 de outubro de 2026, 40 compartilhamentos que haviam sido abertos sem uma conta no início do mês, nenhum deles abriu, e os nomes de host que serviam seu conteúdo retornaram um erro, informou a empresa. Os próprios nomes de host, incluindo os títulos das conversas, continuam no histórico de DNS passivo.

A Claroc publicou a pesquisa que fundamentou a descoberta em 18 de outubro de 2026 e chamou de GhostShares os compartilhamentos localizáveis: páginas que se abrem para pessoas que nunca receberam o link e que elas conseguem encontrar por conta própria. O Muse foi lançado em 8 de setembro de 2026, e a Claroc fez sua busca em um conjunto de dados de DNS passivo cerca de um mês depois.

Como os chats compartilhados se tornaram pesquisáveis

O Muse publica uma conversa compartilhada como uma página que qualquer pessoa com o link pode abrir, sem precisar fazer login, e só permite compartilhar por meio de links. Segundo a Claroc, o Muse cria o endereço web de cada compartilhamento a partir do próprio título da conversa, junto com um ID aleatório, e o disponibiliza em nomes de host sob cf.metaaiusercontent.com, o domínio de conteúdo de onde o Muse serve os compartilhamentos. Quando alguém abre um compartilhamento, o navegador resolve esse nome de host; os provedores de DNS passivo cujos resolvedores observam a consulta a registram e a mantêm pesquisável. Assim, o título digitado pelo usuário acaba em um índice público de nomes de domínio.

A Claroc pesquisou o domínio de conteúdo do Muse em um serviço comercial de DNS passivo e, depois de filtrar o ruído de varreduras de DNS curinga, encontrou mais de 6.800 nomes de host de compartilhamentos listados por título. A empresa abriu apenas algumas centenas deles e afirmou que quase todos os compartilhamentos ativos se abriram imediatamente, sem necessidade de uma conta. O DNS passivo não foi o único lugar em que os compartilhamentos apareceram: segundo a pesquisa, o urlscan.io, um serviço público de varredura de URLs que qualquer pessoa pode consultar, já tinha mais de 75 varreduras salvas de páginas de compartilhamento do Muse.

O arquivo robots.txt do Muse pede que rastreadores de mecanismos de busca e de IA não acessem os caminhos de compartilhamento, mas a Claroc observou que o robots.txt regula o rastreamento, não o acesso, e que sua descoberta não envolveu nenhum mecanismo de busca. Cada endereço contém um ID aleatório tão longo que ninguém conseguiria adivinhá-lo; ainda assim, na primeira vez que alguém abre um compartilhamento, o DNS registra o nome de host completo, incluindo o ID. A Claroc disse que esse tipo de vazamento já tem precedentes: em 2025, conversas compartilhadas do ChatGPT apareceram nos resultados do Google, e a OpenAI removeu a opção que permitia indexá-las; mais tarde, o Google indexou mais de 370.000 conversas do Grok.

O que havia nas páginas expostas

A maioria dos compartilhamentos abertos pela Claroc não tinha nada de excepcional, mas uma minoria continha informações sensíveis, afirmou a empresa. Ela descreveu seis casos apenas por categoria, sem revelar nomes nem links: anotações de um candidato para se preparar para uma conversa confidencial sobre uma vaga executiva em um laboratório de IA de ponta, com o nome do contato interno do laboratório e o horário da reunião; uma análise interna de receitas de uma empresa nacional de marketing, marcada para seu CEO; o pedido de empréstimo de um pequeno empresário, com o valor solicitado; uma lista de tarefas que incluía um alerta bancário de fraude, com parte do número da conta e o valor e horário de uma transação; um relatório interno de desempenho de um investidor imobiliário, com os endereços de dois imóveis e valores exatos de retorno, renda e hipoteca; e o calendário anual de férias dos funcionários de um local de trabalho, que relacionava dezenas de empregados às semanas em que cada um estaria ausente.

A Claroc afirmou que acessou todas as páginas sem receber os respectivos links, usando um conjunto de dados de consultas de domínio e sem uma conta, e que não fez login, preencheu formulários nem enviou nada; uma página pediu uma senha, e a empresa não prosseguiu. Segundo a empresa, todas as avaliações de gravidade foram feitas por uma pessoa que leu a página. A Claroc declarou não ter provas de que alguém tenha usado os compartilhamentos indevidamente, não ter entrado em contato com as pessoas ou empresas envolvidas e ter confirmado em fontes públicas que as duas empresas cujos documentos encontrou são reais. A empresa caracterizou suas descobertas como resultado de um canal de descoberta, um padrão de nome de host e um produto, ao longo de um curto período, e não como uma medida da exposição total do Muse.

Cronologia da divulgação e modelo documentado da Meta

A Claroc comunicou o problema ao programa de recompensas por bugs da Meta em 8 de outubro de 2026, fornecendo etapas para reproduzi-lo e exemplos de compartilhamentos. As verificações de conteúdo foram feitas durante a coleta, em 7 e 8 de outubro de 2026; em 18 de outubro de 2026, a empresa reabriu uma vez o compartilhamento com preparativos para uma conversa — e nenhum outro — para capturar uma captura de tela com dados ocultados. O DNS passivo mostrou que a camada de compartilhamento ainda estava gerando novos nomes de host: foram 27 no dia em que a Claroc consultou os dados pela última vez, o que a empresa descreveu como descoberta contínua, e não como acesso novamente verificado.

A documentação da Central de Ajuda da Meta sobre o compartilhamento de um link para uma conversa com IA informa que “as pessoas que tiverem o link poderão ver sua conversa”, que o link não expira e que as pessoas podem compartilhá-lo com outras. A conversa é registrada no momento em que o link é criado, e a exclusão do link interrompe o acesso de quem o recebeu. A página recomenda que os usuários tenham cuidado ao compartilhar um link para uma conversa em que tenham discutido informações pessoais ou circunstâncias particulares. A Claroc observou que a página trata da Meta AI, e não especificamente do Muse, mas a descreveu como a explicação pública mais próxima que a Meta oferece sobre o funcionamento de um de seus links de compartilhamento de IA.

A documentação de privacidade e segurança do Muse, publicada separadamente pela Meta, informa que a máquina virtual na nuvem de cada usuário do Muse é isolada, de modo que nenhum agente de outra pessoa pode acessá-la; que o Muse não compartilha conversas nem dados de máquinas virtuais com os sistemas de anúncios da Meta; e que as credenciais dos aplicativos conectados ficam em um Secure Credentials Store, que permite ao Muse executar ações autorizadas sem que o modelo de IA veja as senhas.

A Claroc disse que está omitindo todos os identificadores — incluindo nomes de host, títulos, números e links — para que nada em seu relatório indique aos leitores o conteúdo afetado, e que excluirá os dados de descoberta armazenados assim que a Meta confirmar que tem tudo de que precisa.