研究人员在公开 DNS 记录中发现链接后，Meta 暂停 Muse 聊天分享功能

安全公司 Claroc 在 2026 年 10 月 20 日更新的 GhostShares 研究中称，Meta 正在暂停其 Muse AI 智能体的对话链接分享功能。此前，Claroc 在公开被动 DNS 记录中发现了 6,800 多个 Muse 分享主机名，这些记录可通过可读的对话标题检索。

根据这次更新，Meta 告诉 Ars Technica，在该媒体询问调查发现后，公司决定暂停这项功能。Claroc 表示，“很高兴看到它这么快就被关闭了。”该公司称，2026 年 10 月 20 日重新检查了 40 个分享链接；这些链接在当月早些时候无需账户即可打开，但这次没有一个能打开，承载其内容的主机名也都返回了错误。不过，包含对话标题在内的主机名仍留存在被动 DNS 历史记录中。

Claroc 于 2026 年 10 月 18 日发布了这项研究，并将这类可被发现的分享称为 GhostShares：任何从未收到链接的人都能打开这些页面，并且可以自行找到它们。Muse于 2026 年 9 月 8 日上线，约一个月后，Claroc 使用被动 DNS 数据集进行了搜索。

共享聊天如何变得可搜索

Muse 会将共享对话发布为网页，任何持有链接的人都能打开，无需登录；Muse 只通过链接分享。Claroc 称，Muse 会将对话标题与一个随机 ID 组合成每个分享链接的网址，并通过 cf.metaaiusercontent.com 下的主机名提供内容；这是 Muse 用来提供分享内容的域名。有人打开分享链接时，浏览器会解析该主机名；如果被动 DNS 服务商的解析器观察到这次查询，就会记录下来并使其可供搜索。因此，用户输入的标题会进入公开的域名索引。

Claroc 针对 Muse 的内容域名查询了一家商业被动 DNS 服务。在过滤掉通配符 DNS 扫描产生的噪声后，该公司发现了 6,800 多个按标题列出的分享主机名。Claroc 只打开了其中几百个，并表示几乎所有仍有效的分享链接都能立即打开，无需账户。研究还指出，被动 DNS 并非这些分享内容出现的唯一地方：任何人都可以查询的公开 URL 扫描服务 urlscan.io 已保存了 75 多份 Muse 分享页面的扫描记录。

Muse 的 robots.txt 要求搜索引擎和 AI 爬虫不要访问分享路径，但 Claroc 指出，robots.txt 约束的是爬取行为，而非访问权限；该公司发现这些页面的过程也完全没有涉及搜索引擎。每个网址都带有一个足够长、无人能够猜出的随机 ID；然而，只要有人首次打开分享链接，DNS 就会记录完整的主机名，包括该 ID。Claroc 表示，这类泄露早有先例：2025 年，共享的 ChatGPT 对话出现在 Google 搜索结果中，随后 OpenAI 移除了使其可被编入索引的选项；之后，Google 又索引了 37 万多条 Grok 对话。

暴露页面中包含哪些内容

Claroc 表示，该公司打开的大多数分享内容都无关紧要，但其中少数涉及敏感信息。该公司只按类别介绍了其中六例，没有透露名称或链接：一名候选人为准备与一家前沿 AI 实验室进行保密的高管招聘电话沟通而做的笔记，其中写有该实验室内部联系人的姓名和会议时间；一家全国性营销公司的内部营收审查文件，标注为供其首席执行官查阅；一名小企业主的贷款申请，其中列出了申请金额；一份待办清单，其中包含银行的欺诈警报，以及部分账号号码、交易金额和时间；一名房地产投资者的内部业绩报告，其中列有两个房产地址以及确切的回报、收入和抵押贷款数据；以及一个工作场所的全年员工休假日历，其中按员工列出数十人各自离岗的周次。

Claroc 表示，该公司通过域名查询数据集找到了所有页面，无需账户，也没有收到任何页面链接；它没有登录、填写表单或上传任何内容。有一个页面要求输入密码，该公司便没有继续访问。Claroc 称，所有严重程度判断均由人员阅读页面后作出。该公司表示，没有证据表明有人滥用这些分享内容，也没有联系相关个人或公司；它通过公开来源核实，发现文件涉及的两家公司确实存在。Claroc 将这些发现界定为在较短时间内通过一种发现渠道、依据一种主机名模式、针对一款产品所得的结果，而非对 Muse 整体暴露程度的衡量。

披露时间线与 Meta 已公开说明的运行方式

Claroc 于 2026 年 10 月 8 日通过 Meta 的漏洞赏金计划报告了这一问题，并提供了复现步骤和示例分享链接。该公司在 2026 年 10 月 7 日和 8 日收集数据期间进行了内容核查；2026 年 10 月 18 日，它再次打开了那条用于准备通话的分享链接一次，没有重新打开其他链接，以便截取一张经过脱敏处理的屏幕截图。被动 DNS 显示，分享服务仍在生成新的主机名；Claroc 上次查看时，当天新增了 27 个。该公司将此描述为持续发现，而不是重新验证访问权限。

Meta 关于分享 AI 对话链接的帮助中心文档指出：“拥有该链接的人可以查看你的对话”；链接不会过期，而且其他人可以继续分享该链接。链接创建时的对话内容会被记录下来；删除链接后，收到链接的人将无法再访问对话。该页面提醒用户，分享涉及个人信息或个人情况的对话链接时应谨慎。Claroc 指出，该页面介绍的是 Meta AI，而非专门介绍 Muse，但它称这是 Meta 已发布的、对其 AI 分享链接运作方式最接近的说明。

Meta 单独发布的Muse 隐私与安全文档指出，每位 Muse 用户的云端虚拟机都彼此隔离，因此其他人的智能体无法访问；Muse 不会将对话或虚拟机数据分享给 Meta 的广告系统；连接应用的凭据则存储在安全凭据存储区中，使 Muse 能够完成已获授权的操作，同时不让 AI 模型看到密码。

Claroc 表示，它将隐去所有标识信息，包括主机名、标题、数字和链接，以确保报告中的任何内容都不会引导读者找到受影响的内容；Meta 确认已获得所需信息后，Claroc 将删除其存储的发现数据。