Filtración de Meta Muse: 6800 chats compartidos en el DNS público

El 18 de octubre, la empresa Claroc publicó el informe «GhostShares» sobre una filtración de Meta Muse: las conversaciones compartidas con Muse, el agente de IA de Meta, se podían encontrar a través de registros DNS públicos. El 20 de octubre, Ars Technica se hizo eco del caso y Meta suspendió la función de compartir.

Detalles de la filtración de Meta Muse

Muse es el agente de IA que Meta lanzó el 8 de septiembre. Puede buscar en la web, rellenar formularios, concertar reuniones y conectarse a las cuentas del usuario, incluidos el calendario y el correo (así lo describe Gadget Review). Una conversación se puede compartir mediante un enlace, y el problema estaba precisamente en cómo se construía ese enlace.

Según el informe de Claroc, la dirección de cada conversación compartida se formaba con su título y un identificador aleatorio, colocados en el nombre de un subdominio de cf.metaaiusercontent.com. El informe lo resume así: «Muse names each share’s web address after the conversation’s own title, and that address is written into public DNS».

Esto significa que:

1. Cuando alguien abría un enlace compartido, su navegador consultaba al DNS el nombre de host completo.
2. Los servicios de DNS pasivo registran esas consultas y permiten buscar en ellas, así que el nombre de host junto con el identificador «secreto» quedaba en el historial.
3. Con el nombre de host bastaba para reconstruir un enlace que funcionaba, y el propio título solía revelar el tema de la conversación antes incluso de que cargara la página.

No hubo intrusión ni adivinación de contraseñas: según Claroc, una sola búsqueda en DNS pasivo devolvía miles de estas direcciones, literalmente como un índice («like a table of contents»). Como dicen los investigadores, un identificador solo funciona como secreto mientras sigue siendo secreto, y «a hostname is not a secret». El archivo robots.txt pedía a los buscadores que ignoraran las páginas compartidas, pero eso solo regula la indexación, no el acceso en sí (de hecho, los investigadores ni siquiera necesitaron buscadores).

¿Qué se filtró?

Tras filtrar el ruido, Claroc encontró más de 6800 nombres de host de conversaciones compartidas, y en urlscan.io ya había más de 75 escaneos guardados de esas páginas. Los investigadores abrieron solo unos cientos. La mayoría eran inofensivas, pero entre ellas había, por ejemplo:

1. la preparación de un candidato para una entrevista de trabajo confidencial en uno de los principales laboratorios de IA, con el nombre de la persona de contacto y la hora de la cita,
2. una revisión interna de ingresos de una empresa de marketing preparada para su director general,
3. la solicitud de préstamo de una pequeña empresa con el importe solicitado,
4. una lista de tareas con una alerta de fraude bancario, parte de un número de cuenta y detalles de transacciones,
5. el informe de un inversor inmobiliario con direcciones e importes de préstamos,
6. el calendario de vacaciones de los empleados de todo el año.

Una salvedad importante: se trata solo de conversaciones que los usuarios compartieron ellos mismos, no de todos los chats privados. Claroc tampoco encontró indicios de que alguien hubiera usado esos datos, y no publica nombres ni enlaces.

¿Cómo reaccionó Meta?

Claroc notificó el problema en el programa de bug bounty de Meta el 8 de octubre. Tras la publicación de Ars Technica, Meta declaró que «we’ve paused this functionality while we review this report and consider changes to how these links can be discovered» (cita recogida por Dataconomy).

El 20 de octubre, los investigadores volvieron a comprobar 40 enlaces que antes funcionaban y ninguno se abría ya. Sin embargo, los nombres de host, y con ellos los títulos de las conversaciones, siguen en el historial del DNS pasivo.

¿Por qué ha dado tanto que hablar?

Porque Muse no es un chatbot cualquiera, sino un agente con acceso al calendario, al correo y a los documentos, así que las conversaciones con él contienen de forma natural datos empresariales y financieros. El hilo sobre el tema en Hacker News superó los 200 puntos, y el mecanismo es sorprendentemente sencillo: ningún exploit, solo herramientas normales y públicas.

Tampoco es el primer problema con chats compartidos. Cyber Security News recuerda casos anteriores de conversaciones compartidas de ChatGPT, Grok y Claude que acabaron circulando en público. Hace poco también escribí sobre la filtración de OpenCode y el ciberataque con IA a más de 100 empresas: la seguridad de los agentes de IA se está convirtiendo en uno de los grandes temas de este otoño.

¿Qué tener en cuenta en el futuro?

Primero, que un enlace «para cualquiera que lo tenga» es en la práctica una página pública. Compartamos solo lo que podríamos enseñar al mundo.

Segundo, los títulos de las conversaciones. En el caso de Muse, fueron justo lo que se filtró, así que no pongamos en ellos nombres de clientes, importes ni nombres de personas.

Tercero, limpiar lo que dejamos atrás. Siempre que se pueda, borremos las páginas compartidas cuando dejen de hacer falta (revisemos también los enlaces antiguos en ChatGPT y otras herramientas).

Claroc aconseja a las empresas tratar la creación de estos enlaces como un envío de datos al exterior y, si no hay forma de controlarlo, bloquear muse.ai y metaaiusercontent.com en los dispositivos de la empresa. Conviene recordar que Claroc vende herramientas para monitorizar el uso de IA y SaaS, y que el informe termina con publicidad de ellas.

FAQ

¿La filtración de Meta Muse afectó a todas las conversaciones?

No. Según el informe de Claroc, afecta solo a las conversaciones compartidas mediante enlace. Las sesiones privadas no se vieron afectadas por el problema descrito.

¿Siguen funcionando los enlaces compartidos de Muse?

Según Claroc, los 40 enlaces que volvió a comprobar dejaron de funcionar el 20 de octubre, después de que Meta pausara la función de compartir. Aun así, los títulos de las conversaciones siguen apareciendo en el historial del DNS pasivo.

¿Qué es el DNS pasivo?

Son bases de datos que registran las consultas DNS observadas, es decir, los nombres de dominio por los que preguntaron los ordenadores, junto con sus direcciones IP. Se pueden consultar, así que cualquier nombre de host que alguien haya visitado puede quedarse ahí mucho tiempo.