Meta pausar delning av Muse-chattar efter att forskare hittar länkar i offentliga DNS-register

Meta pausar funktionen för att dela samtalslänkar i sin AI-agent Muse, efter att säkerhetsföretaget Claroc hittat fler än 6 800 värdnamn för delade Muse-samtal, listade med läsbara samtalstitlar i offentliga passiva DNS-register, enligt en uppdatering av GhostShares-forskningen som Claroc publicerade den 20 oktober 2026.

Enligt uppdateringen uppgav Meta för Ars Technica att företaget pausade funktionen efter att tidningen frågat om resultaten, och Claroc sade att de var ”glada över att se att den stängdes så snabbt”. När Claroc den 20 oktober 2026 kontrollerade 40 delade samtal som hade gått att öppna utan konto tidigare under månaden, gick inget av dem att öppna, och värdnamnen som levererade innehållet visade ett felmeddelande, uppgav företaget. Värdnamnen i sig, inklusive samtalstitlarna, finns fortfarande kvar i den passiva DNS-historiken.

Claroc publicerade den bakomliggande undersökningen den 18 oktober 2026 och kallade de sökbara delade samtalen för GhostShares: sidor som går att öppna för personer som aldrig fått länken och som själva kan hitta dem. Muse lanserades den 8 september 2026, och Claroc sökte i ett passivt DNS-dataset ungefär en månad senare.

Så blev delade chattar sökbara

Muse publicerar ett delat samtal som en sida som kan öppnas av alla som har länken, utan att logga in, och Muse delar endast via länkar. Enligt Claroc skapar Muse webbadressen för varje delning utifrån samtalets egen titel och ett slumpmässigt ID. Adressen levereras från värdnamn under cf.metaaiusercontent.com, den innehållsdomän som Muse använder för delade samtal. När någon öppnar en delning slår webbläsaren upp värdnamnet, och leverantörer av passiv DNS vars namnservrar registrerar uppslaget sparar det och gör det sökbart. Därmed hamnar titeln som användaren skrev in i ett offentligt register över domännamn.

Claroc sökte igenom en kommersiell tjänst för passiv DNS efter Muse innehållsdomän och hittade, efter att ha filtrerat bort brus från sökningar efter jokertecken i DNS, fler än 6 800 värdnamn för delade samtal som var listade efter titel. Företaget öppnade bara några hundra av dem och uppgav att nästan alla aktiva delningar gick att öppna direkt, utan konto. Passiv DNS var inte den enda plats där delningarna dök upp: enligt undersökningen hade urlscan.io, en offentlig tjänst för URL-skanning som vem som helst kan söka i, redan sparat fler än 75 skanningar av delade Muse-sidor.

Muse robots.txt uppmanar sökmotorer och AI-crawlers att inte besöka sökvägarna för delade samtal, men Claroc påpekade att robots.txt reglerar genomsökning, inte åtkomst, och att företaget inte använde någon sökmotor i sin undersökning. Varje adress innehåller ett slumpmässigt ID som är så långt att ingen skulle kunna gissa det, men första gången någon öppnar en delning registrerar DNS hela värdnamnet, inklusive ID:t. Claroc uppgav att den här typen av läcka har förekommit tidigare: 2025 dök delade ChatGPT-samtal upp i Googles sökresultat, varefter OpenAI tog bort alternativet som gjorde dem indexerbara. Senare indexerade Google fler än 370 000 Grok-samtal.

Vad de exponerade sidorna innehöll

De flesta delningar som Claroc öppnade var harmlösa, men en mindre andel innehöll känsliga uppgifter, uppgav företaget. Det beskrev sex fall enbart utifrån kategori och utelämnade namn och länkar: anteckningar som en kandidat hade förberett inför ett konfidentiellt samtal med en rekryterare för en chefsposition på ett ledande AI-laboratorium, med laboratoriets interna kontaktperson och mötestiden angivna; en intern intäktsöversyn från ett nationellt marknadsföringsföretag, märkt för företagets vd; en småföretagares låneansökan med det begärda beloppet; en att göra-lista med en varning om bankbedrägeri, ett delvis maskerat kontonummer samt ett transaktionsbelopp och en tidpunkt; en intern resultatrapport från en fastighetsinvesterare med två fastighetsadresser och exakta uppgifter om avkastning, intäkter och bolån; samt en arbetsplats hela årets semesterkalender, med dussintals anställda listade bredvid de veckor då var och en skulle vara ledig.

Claroc uppgav att företaget nådde varje sida utan att ha fått länken, genom att använda ett dataset med domänuppslag utan konto, och att det inte loggade in, fyllde i något formulär eller laddade upp något. En sida efterfrågade ett lösenord, men företaget lämnade den därhän. Varje bedömning av allvarlighetsgraden gjordes av en person som läste sidan, uppgav företaget. Claroc sade att det inte har några belägg för att någon missbrukat delningarna, att det inte kontaktade de berörda personerna eller företagen och att de två företag vars dokument det hittade är verkliga, vilket bekräftats med hjälp av offentliga källor. Företaget beskrev sina resultat som ett sätt att upptäcka delningar, ett mönster för värdnamn och en produkt under en kort tidsperiod, snarare än som ett mått på Muse totala exponering.

Tidslinje för rapporteringen och Metas dokumenterade modell

Claroc rapporterade problemet till Metas program för buggbelöningar den 8 oktober 2026 och skickade med instruktioner för att återskapa problemet samt exempel på delade samtal. Företaget granskade innehållet under insamlingen den 7 och 8 oktober 2026. Den 18 oktober 2026 öppnade det delningen med förberedelser inför rekryteringssamtalet på nytt en gång, och inga andra delningar, för att ta en skärmbild med redigerade uppgifter. Passiv DNS visade att delningstjänsten fortfarande skapade nya värdnamn, 27 den dag Claroc senast undersökte saken. Företaget beskrev detta som fortsatt upptäckt, inte som bekräftad åtkomst på nytt.

Metas hjälpcenterinformation om att dela en länk till en AI-konversation anger att ”personer med länken kan se din konversation”, att länken inte upphör att gälla och att personer kan dela länken vidare. Konversationen fångas i det ögonblick länken skapas, och om länken raderas förlorar de som fått den åtkomsten. Sidan uppmanar användarna att tänka efter innan de delar en länk till en konversation där de har diskuterat personliga uppgifter eller omständigheter. Claroc noterade att sidan beskriver Meta AI, inte Muse specifikt, men kallade den den närmaste publicerade beskrivningen av hur Meta förklarar att en av sina AI-länkar för delning fungerar.

Metas separata dokumentation om Muse-integritet och säkerhet anger att varje Muse-användares virtuella molndator är isolerad, så att ingen annan användares agent kan komma åt den, att Muse inte delar konversationer eller data från virtuella datorer med Metas annonssystem och att inloggningsuppgifter för anslutna appar lagras i Secure Credentials Store, som gör det möjligt för Muse att utföra godkända åtgärder utan att AI-modellen ser lösenorden.

Claroc uppgav att företaget undanhåller alla identifierande uppgifter, däribland värdnamn, titlar, siffror och länkar, så att inget i rapporten leder läsarna till berört innehåll, och att de lagrade uppgifterna från undersökningen kommer att raderas när Meta bekräftar att företaget har fått det som behövs.