Meta призупиняє поширення чатів Muse після того, як дослідники виявили посилання в загальнодоступних записах DNS

Meta призупиняє функцію поширення посилань на розмови у своєму ШІ-агенті Muse після того, як фахівці з безпеки компанії Claroc виявили в загальнодоступних записах пасивного DNS понад 6 800 хостнеймів для поширення розмов Muse, які можна було знайти за їхніми читабельними назвами. Про це Claroc повідомила в оновленні від 20 жовтня 2026 року до свого дослідження GhostShares.

Згідно з оновленням, Meta повідомила Ars Technica, що призупиняє цю функцію після запиту видання щодо результатів дослідження, а Claroc заявила, що «рада бачити, що її так швидко закрили». 20 жовтня 2026 року Claroc повторно перевірила 40 посилань, які раніше того місяця відкривалися без облікового запису: жодне з них не відкрилося, а хостнейми, з яких завантажувався їхній вміст, повертали помилку, повідомила компанія. Самі хостнейми, зокрема назви розмов, залишаються в історії пасивного DNS.

Claroc оприлюднила результати дослідження 18 жовтня 2026 року й назвала розмови, які можна було знайти, GhostShares: це сторінки, доступні людям, яким ніхто не надсилав посилання, але які можуть самостійно їх відшукати. Muse запустили 8 вересня 2026 року, а приблизно місяць потому Claroc провела пошук у наборі даних пасивного DNS.

Як спільні чати стали доступними для пошуку

Muse публікує спільну розмову як сторінку, яку може відкрити будь-хто, хто має посилання, без входу в обліковий запис; поширювати розмови в Muse можна лише за посиланням. За даними Claroc, для кожного такого посилання Muse створює вебадресу на основі назви самої розмови та випадкового ідентифікатора, розміщену на хостнеймах у домені cf.metaaiusercontent.com — домені, з якого Muse надає доступ до поширених розмов. Коли хтось відкриває таке посилання, браузер визначає IP-адресу відповідного хостнейма, а постачальники послуг пасивного DNS, чиї резолвери фіксують цей запит, записують його й зберігають доступним для пошуку. У результаті назва, яку ввів користувач, потрапляє до загальнодоступного покажчика доменних імен.

Claroc перевірила домен із вмістом Muse в одному комерційному сервісі пасивного DNS і, відфільтрувавши шум від сканування wildcard-DNS, виявила понад 6 800 хостнеймів для поширених розмов, перелічених за назвами. Компанія відкрила лише кілька сотень із них і повідомила, що майже кожна активна сторінка відкривалася одразу й не вимагала облікового запису. Посилання на розмови з’являлися не лише в пасивному DNS: за даними дослідження, у загальнодоступному сервісі сканування URL-адрес urlscan.io, яким може скористатися будь-хто, вже було збережено понад 75 сканувань сторінок поширених розмов Muse.

Файл robots.txt Muse просить пошукових роботів і ШІ-краулери не переходити за шляхами до поширених розмов, однак Claroc зазначила, що robots.txt регулює сканування, а не доступ, і що під час пошуку компанія взагалі не зверталася до пошукових систем. Кожна адреса містить випадковий ідентифікатор, достатньо довгий, щоб його ніхто не зміг вгадати, але щойно хтось уперше відкриває поширену розмову, DNS записує повний хостнейм разом з ідентифікатором. За словами Claroc, подібні витоки траплялися й раніше: у 2025 році поширені розмови ChatGPT з’явилися в результатах Google, після чого OpenAI прибрала функцію, яка дозволяла індексувати їх, а згодом Google проіндексував понад 370 000 розмов Grok.

Що містили відкриті сторінки

Більшість відкритих Claroc сторінок із поширеними розмовами не містили нічого особливого, але деякі з них містили конфіденційну інформацію, повідомила компанія. Вона описала шість випадків лише за категоріями, не розкриваючи назв і посилань: нотатки кандидата для підготовки до конфіденційної розмови з рекрутером, який шукав керівника для передової лабораторії ШІ, із зазначенням внутрішнього контактного працівника лабораторії та часу зустрічі; внутрішній звіт про доходи національної маркетингової компанії з позначкою «для генерального директора»; заявка власника малого бізнесу на кредит із зазначенням запитуваної суми; список справ із попередженням банку про шахрайство, частковим номером рахунку, сумою й часом транзакції; внутрішній звіт про результати роботи інвестора в нерухомість із двома адресами об’єктів і точними показниками дохідності, доходів і іпотеки; а також календар відпусток працівників на весь рік, де десятки співробітників були прив’язані до тижнів, коли кожен із них мав бути у відпустці.

За словами Claroc, компанія дісталася до кожної сторінки, не отримавши відповідного посилання, а використавши набір даних пошукових запитів до доменів і не входячи в обліковий запис. Вона не входила в систему, не заповнювала форми й нічого не завантажувала; одна сторінка запросила пароль, і компанія вирішила не продовжувати. Усі оцінки рівня серйозності робили люди, які читали сторінки, повідомила компанія. Claroc заявила, що не має доказів неправомірного використання поширених розмов, не зв’язувалася із залученими людьми чи компаніями, а дві компанії, чиї документи вона знайшла, є реальними — це підтверджують загальнодоступні джерела. Компанія охарактеризувала результати як виявлення через один канал, за одним шаблоном хостнеймів і в одному продукті за короткий проміжок часу, а не як оцінку загального масштабу витоку даних Muse.

Хронологія розкриття проблеми та задокументована модель Meta

8 жовтня 2026 року Claroc повідомила про проблему в межах програми Meta з пошуку помилок, надавши інструкції для відтворення та приклади поширених розмов. Перевірку вмісту проводили під час збирання даних 7 і 8 жовтня 2026 року. 18 жовтня 2026 року Claroc повторно відкрила сторінку з підготовкою до розмови, і лише її одну, щоб зробити скриншот із прихованими даними. Пасивний DNS показав, що система поширення розмов і далі створювала нові хостнейми: 27 — у день останньої перевірки Claroc. Компанія описала це як подальше виявлення, а не як повторне підтвердження доступу.

У документації Meta в Довідковому центрі про поширення посилання на розмову зі штучним інтелектом зазначено, що «люди, які мають це посилання, зможуть бачити вашу розмову», що термін дії посилання не спливає і що люди можуть пересилати його іншим. Розмову фіксують у момент створення посилання, а видалення посилання припиняє доступ до неї для тих, хто його отримав. На сторінці користувачам радять бути обачними, поширюючи посилання на розмову, у якій вони обговорювали особисту інформацію чи обставини. Claroc зазначила, що на цій сторінці описано Meta AI, а не Muse зокрема, але назвала її найближчим опублікованим описом того, як працює одне з посилань Meta для поширення матеріалів зі штучним інтелектом.

В окремій документації Meta щодо конфіденційності й безпеки Muse зазначено, що хмарна віртуальна машина кожного користувача Muse ізольована, тож агент будь-кого іншого не може отримати до неї доступ; Muse не передає розмови чи дані віртуальних машин рекламним системам Meta; а облікові дані підключених застосунків зберігаються в захищеному сховищі облікових даних, завдяки якому Muse може виконувати дозволені дії, не надаючи моделі штучного інтелекту доступу до паролів.

Claroc повідомила, що не розголошує жодних ідентифікаторів, зокрема імен хостів, заголовків, числових даних і посилань, аби ніщо у звіті не спрямовувало читачів до вмісту, якого торкнулася проблема, і що видалить збережені дані, отримані під час пошуку, щойно Meta підтвердить, що має все необхідне.