Meta Muse Datenleck: 6.800 geteilte Chats im öffentlichen DNS

Am 18. Oktober veröffentlichte die Firma Claroc den Bericht „GhostShares“ über ein Meta Muse Datenleck: Geteilte Unterhaltungen mit Muse, dem KI-Agenten von Meta, ließen sich über öffentliche DNS-Einträge finden. Am 20. Oktober griff Ars Technica die Geschichte auf, und Meta setzte die Teilen-Funktion aus.

Details zum Meta Muse Datenleck

Muse ist der KI-Agent, den Meta am 8. September gestartet hat. Er kann im Netz suchen, Formulare ausfüllen, Termine vereinbaren und sich mit den Konten des Nutzers verbinden, darunter Kalender und E-Mail (so beschreibt ihn Gadget Review). Eine Unterhaltung lässt sich per Link teilen, und genau im Aufbau dieses Links lag das Problem.

Laut Claroc entstand die Adresse jeder geteilten Unterhaltung aus ihrem Titel und einer zufälligen Kennung, die im Namen einer Subdomain unter cf.metaaiusercontent.com standen. Im Bericht heißt es: „Muse names each share’s web address after the conversation’s own title, and that address is written into public DNS“.

Das bedeutet:

1. Wenn jemand einen geteilten Link öffnete, fragte sein Browser den vollständigen Hostnamen per DNS ab.
2. Passive-DNS-Dienste zeichnen solche Abfragen auf und machen sie durchsuchbar, also landete der Hostname samt „geheimer“ Kennung in der Historie.
3. Aus dem Hostnamen allein ließ sich ein funktionierender Link rekonstruieren, und schon der Titel verriet oft das Thema der Unterhaltung, bevor die Seite überhaupt geladen war.

Es gab keinen Einbruch und kein Passwortraten: Laut Claroc lieferte eine einzige Passive-DNS-Suche Tausende solcher Adressen, „like a table of contents“. Wie die Forscher sagen, ist eine Kennung nur so lange ein Geheimnis, wie sie geheim bleibt, und „a hostname is not a secret“. Eine robots.txt bat Suchmaschinen, die geteilten Seiten zu ignorieren, aber das regelt nur die Indexierung, nicht den Zugriff selbst (die Forscher brauchten Suchmaschinen ohnehin nicht).

Was ist durchgesickert?

Nach dem Herausfiltern des Rauschens fand Claroc mehr als 6.800 Hostnamen geteilter Unterhaltungen, und bei urlscan.io lagen bereits über 75 gespeicherte Scans solcher Seiten. Die Forscher öffneten nur einige Hundert davon. Die meisten waren harmlos, aber darunter fanden sich unter anderem:

1. die Vorbereitung eines Kandidaten auf ein vertrauliches Vorstellungsgespräch bei einem der führenden KI-Labore, mit dem Namen der Kontaktperson und der Uhrzeit des Termins,
2. ein interner Umsatzbericht einer Marketingfirma, erstellt für deren CEO,
3. der Kreditantrag eines kleinen Unternehmens mit der beantragten Summe,
4. eine Aufgabenliste mit einem Betrugsalarm der Bank, einem Teil der Kontonummer und Transaktionsdetails,
5. der Bericht eines Immobilieninvestors mit Adressen und Kreditbeträgen,
6. ein Urlaubskalender der Mitarbeitenden für das ganze Jahr.

Ein wichtiger Vorbehalt: Es geht ausschließlich um Unterhaltungen, die Nutzer selbst geteilt haben, nicht um alle privaten Chats. Claroc fand außerdem keine Hinweise darauf, dass jemand diese Daten missbraucht hat, und veröffentlicht weder Namen noch Links.

Wie hat Meta reagiert?

Claroc meldete das Problem am 8. Oktober über Metas Bug-Bounty-Programm. Nach dem Artikel von Ars Technica erklärte Meta: „we’ve paused this functionality while we review this report and consider changes to how these links can be discovered“ (zitiert nach Dataconomy).

Am 20. Oktober prüften die Forscher 40 zuvor funktionierende Links erneut, und keiner ließ sich mehr öffnen. Die Hostnamen und damit die Titel der Unterhaltungen bleiben jedoch in der Passive-DNS-Historie.

Warum ist das so ein großes Thema?

Weil Muse kein gewöhnlicher Chatbot ist, sondern ein Agent mit Zugriff auf Kalender, E-Mail und Dokumente, und Unterhaltungen mit ihm deshalb ganz natürlich Firmen- und Finanzdaten enthalten. Der Thread dazu auf Hacker News sammelte über 200 Punkte, und der Mechanismus ist auffallend simpel: kein Exploit, nur gewöhnliche, öffentlich verfügbare Werkzeuge.

Es ist auch nicht das erste Problem mit geteilten Chats. Cyber Security News erinnert an frühere Fälle, in denen geteilte Unterhaltungen aus ChatGPT, Grok und Claude öffentlich auftauchten. Ich habe kürzlich auch über das Datenleck bei OpenCode und den KI-Hackerangriff auf mehr als 100 Firmen geschrieben: Die Sicherheit von KI-Agenten wird zu einem der Hauptthemen dieses Herbsts.

Worauf sollten wir künftig achten?

Erstens: Ein Link „für alle, die ihn haben“ ist in der Praxis eine öffentliche Seite. Teilen wir nur, was wir auch der ganzen Welt zeigen könnten.

Zweitens: die Titel von Unterhaltungen. Bei Muse waren genau sie es, die durchsickerten, also schreiben wir keine Kundennamen, Beträge oder Personennamen hinein.

Drittens: hinter uns aufräumen. Wo es geht, löschen wir geteilte Seiten, sobald wir sie nicht mehr brauchen (prüfen wir auch alte Links in ChatGPT und anderen Tools).

Claroc rät Firmen, das Erstellen solcher Links wie das Versenden von Daten nach außen zu behandeln und, wo es keine Kontrolle darüber gibt, muse.ai und metaaiusercontent.com auf Firmengeräten zu sperren. Dabei sollte man im Hinterkopf behalten, dass Claroc Werkzeuge zur Überwachung der KI- und SaaS-Nutzung verkauft und der Bericht mit Werbung dafür endet.

FAQ

Betraf das Meta Muse Datenleck alle Unterhaltungen?

Nein. Laut dem Claroc-Bericht geht es ausschließlich um Unterhaltungen, die per Link geteilt wurden. Private Sitzungen waren von dem beschriebenen Problem nicht betroffen.

Funktionieren geteilte Muse-Links noch?

Laut Claroc funktionierten die 40 erneut geprüften Links am 20. Oktober nicht mehr, nachdem Meta das Teilen ausgesetzt hatte. Die Titel der Unterhaltungen stehen aber weiterhin in der Passive-DNS-Historie.

Was ist passives DNS?

Das sind Datenbanken, die beobachtete DNS-Abfragen speichern, also die Domainnamen, nach denen Computer gefragt haben, zusammen mit ihren IP-Adressen. Sie sind durchsuchbar, sodass jeder Hostname, den jemand besucht hat, dort lange erhalten bleiben kann.