Meta приостанавливает возможность делиться чатами Muse после того, как исследователи обнаружили ссылки в общедоступных записях DNS

Meta приостанавливает функцию обмена ссылками на беседы в своем ИИ-агенте Muse после того, как компания по кибербезопасности Claroc обнаружила более 6 800 имен хостов для общих материалов Muse, перечисленных вместе с читаемыми названиями бесед в общедоступных записях пассивного DNS. Об этом Claroc сообщила в обновлении от 20 октября 2026 года, посвященном исследованию GhostShares.

Согласно обновлению, Meta сообщила Ars Technica, что приостанавливает эту функцию после того, как издание обратилось к ней с вопросами о результатах исследования. Claroc заявила, что «рада видеть, что функцию так быстро отключили». По словам компании, когда 20 октября 2026 года она повторно проверила 40 ссылок, которые в начале месяца открывались без учетной записи, ни одна из них уже не работала, а имена хостов, с которых предоставлялся доступ к материалам, возвращали ошибку. Сами имена хостов, включая названия бесед, по-прежнему сохраняются в истории пассивного DNS.

Claroc опубликовала результаты исследования 18 октября 2026 года и назвала обнаруживаемые общие материалы GhostShares: это страницы, которые открываются у людей, которым никто не отправлял ссылку, и которые они могут найти самостоятельно. Muse был запущен 8 сентября 2026 года, а примерно месяц спустя Claroc провела поиск по набору данных пассивного DNS.

Как общие чаты стали доступны для поиска

Muse публикует общую беседу в виде страницы, которая открывается у любого обладателя ссылки без входа в учетную запись; Muse предоставляет доступ только по ссылке. По данным Claroc, для каждой общей беседы Muse формирует веб-адрес на основе ее названия и случайного идентификатора. Адрес размещается на одном из хостов домена cf.metaaiusercontent.com, с которого Muse предоставляет доступ к общим материалам. Когда кто-то открывает такую страницу, браузер обращается к этому хосту, а поставщики услуг пассивного DNS, чьи резолверы фиксируют запрос, записывают его и делают доступным для поиска. В результате введенное пользователем название попадает в общедоступный индекс доменных имен.

Claroc выполнила поиск по домену с материалами Muse в одном коммерческом сервисе пассивного DNS и, отфильтровав шум от сканирования wildcard-DNS, обнаружила более 6 800 имен хостов общих страниц, перечисленных по названиям. Компания открыла лишь несколько сотен таких страниц и сообщила, что почти каждая действующая ссылка открывалась сразу, без учетной записи. Общие страницы обнаружились не только в пассивном DNS: согласно исследованию, в общедоступном сервисе сканирования URL-адресов urlscan.io, доступном для поиска всем желающим, уже хранилось более 75 сохраненных результатов сканирования страниц Muse.

В файле robots.txt Muse просит поисковых роботов и краулеров ИИ не обращаться к страницам общего доступа, однако Claroc отметила, что robots.txt регулирует сканирование, а не доступ, и что при обнаружении страниц компания вообще не обращалась к поисковым системам. Каждый адрес содержит случайный идентификатор, настолько длинный, что угадать его невозможно, однако при первом открытии страницы DNS записывает полное имя хоста, включая идентификатор. По словам Claroc, подобные утечки уже случались: в 2025 году общие беседы ChatGPT появились в результатах Google, после чего OpenAI убрала возможность, из-за которой их можно было индексировать; позднее Google проиндексировал более 370 000 бесед Grok.

Что содержали открытые страницы

По словам Claroc, большинство открытых компанией общих страниц не содержали ничего примечательного, однако некоторые из них содержали конфиденциальные сведения. Компания описала шесть случаев, указав только категории и не раскрывая названий и ссылок: заметки кандидата, готовившегося к конфиденциальному собеседованию с руководителем по подбору персонала в ведущей лаборатории ИИ, с именем внутреннего контактного лица лаборатории и временем встречи; внутренний отчет о выручке национальной маркетинговой компании с пометкой для ее генерального директора; заявка владельца малого бизнеса на кредит с указанием запрашиваемой суммы; список дел с уведомлением банка о мошенничестве, частичным номером счета, суммой и временем транзакции; внутренний отчет инвестора в недвижимость о результатах работы с адресами двух объектов и точными данными о доходности, доходах и ипотеке; а также полный годовой календарь отпусков сотрудников организации с указанием десятков работников и недель, в которые каждый из них будет отсутствовать.

Claroc заявила, что получила доступ к каждой странице, не имея ссылки на нее, используя набор данных о запросах к доменам, доступный без учетной записи; компания не входила в систему, не заполняла формы и ничего не загружала. На одной странице требовался пароль, и Claroc не стала ее открывать. По словам компании, оценку степени серьезности каждого случая давал человек, прочитавший страницу. Claroc сообщила, что у нее нет доказательств злоупотребления доступом к общим страницам, что она не связывалась с затронутыми людьми или компаниями и что существование двух компаний, документы которых были обнаружены, подтвердилось по общедоступным источникам. Компания охарактеризовала результаты как одно направление поиска, один шаблон имен хостов и один продукт, изученные за короткий период, а не как оценку общего масштаба раскрытия данных в Muse.

Хронология раскрытия проблемы и документированная модель работы Meta

8 октября 2026 года Claroc сообщила о проблеме в программу Meta по поиску уязвимостей, приложив инструкции по воспроизведению и примеры общих страниц. Проверку их содержимого компания проводила в ходе сбора данных 7 и 8 октября 2026 года. 18 октября 2026 года она повторно открыла только одну страницу с подготовкой к собеседованию, чтобы сделать скриншот с удаленными личными данными. Данные пассивного DNS показали, что инфраструктура обмена ссылками продолжала создавать новые имена хостов: в день последней проверки Claroc их было 27. Компания расценила это как продолжение обнаружения страниц, а не как повторную проверку доступности.

В документации Справочного центра Meta о том, как поделиться ссылкой на беседу с ИИ, говорится, что «люди, у которых есть ссылка, смогут видеть вашу беседу», срок действия ссылки не истекает и ее можно пересылать дальше. Беседа сохраняется в том виде, в каком она была на момент создания ссылки, а удаление ссылки прекращает доступ для тех, кто ее получил. На странице пользователям советуют проявлять осторожность, делясь ссылкой на беседу, в которой обсуждалась личная информация или личные обстоятельства. Claroc отметила, что на этой странице описывается Meta AI, а не непосредственно Muse, но назвала ее наиболее близким опубликованным описанием того, как работает одна из ссылок Meta для предоставления доступа к беседам с ИИ.

В отдельной документации Muse по конфиденциальности и безопасности Meta указывает, что облачная виртуальная машина каждого пользователя Muse изолирована, поэтому ни один чужой агент не может получить к ней доступ; Muse не передает беседы или данные виртуальных машин рекламным системам Meta; учетные данные подключенных приложений хранятся в Secure Credentials Store, что позволяет Muse выполнять разрешенные действия, не раскрывая пароли модели ИИ.

Claroc сообщила, что не раскрывает никакие идентификаторы, включая имена хостов, заголовки, цифры и ссылки, чтобы ничто в ее отчете не направляло читателей к затронутому контенту, и что удалит собранные данные об обнаруженных материалах, как только Meta подтвердит, что получила все необходимое.