Fuite Meta Muse : 6 800 conversations partagées dans le DNS public

Le 18 octobre, la société Claroc a publié le rapport « GhostShares » sur une fuite Meta Muse : les conversations partagées avec Muse, l’agent IA de Meta, pouvaient être retrouvées via des enregistrements DNS publics. Le 20 octobre, Ars Technica a relayé l’affaire, et Meta a suspendu la fonction de partage.

Les détails de la fuite Meta Muse

Muse est l’agent IA que Meta a lancé le 8 septembre. Il sait chercher sur le web, remplir des formulaires, fixer des rendez-vous et se connecter aux comptes de l’utilisateur, y compris à son agenda et à sa messagerie (c’est ainsi que le décrit Gadget Review). On peut partager une conversation par un lien, et c’est justement la construction de ce lien qui posait problème.

Selon le rapport de Claroc, l’adresse de chaque conversation partagée était formée à partir de son titre et d’un identifiant aléatoire, placés dans le nom d’un sous-domaine de cf.metaaiusercontent.com. Le rapport le formule ainsi : « Muse names each share’s web address after the conversation’s own title, and that address is written into public DNS ».

Concrètement :

1. Quand quelqu’un ouvrait un lien partagé, son navigateur interrogeait le DNS sur le nom d’hôte complet.
2. Les services de DNS passif enregistrent ces requêtes et permettent d’y faire des recherches, donc le nom d’hôte et son identifiant « secret » atterrissaient dans l’historique.
3. Le nom d’hôte suffisait à lui seul pour reconstituer un lien fonctionnel, et le titre trahissait souvent le sujet de la conversation avant même le chargement de la page.

Aucune intrusion, aucun mot de passe deviné : selon Claroc, une seule recherche dans le DNS passif renvoyait des milliers de ces adresses, littéralement comme une table des matières (« like a table of contents »). Comme le disent les chercheurs, un identifiant ne fonctionne comme un secret que tant qu’il reste secret, et « a hostname is not a secret ». Le fichier robots.txt demandait aux moteurs de recherche d’ignorer les pages partagées, mais cela ne règle que l’indexation, pas l’accès lui-même (les chercheurs n’ont d’ailleurs pas eu besoin des moteurs de recherche).

Qu’est-ce qui a fuité ?

Après avoir filtré le bruit, Claroc a trouvé plus de 6 800 noms d’hôtes de conversations partagées, et urlscan.io contenait déjà plus de 75 analyses enregistrées de ces pages. Les chercheurs n’en ont ouvert que quelques centaines. La plupart étaient anodines, mais on y trouvait notamment :

1. la préparation d’un candidat à un entretien d’embauche confidentiel dans l’un des principaux laboratoires d’IA, avec le nom de son interlocuteur et l’heure du rendez-vous,
2. une revue interne du chiffre d’affaires d’une agence marketing préparée pour son PDG,
3. une demande de prêt d’une petite entreprise avec le montant demandé,
4. une liste de tâches avec une alerte de fraude bancaire, une partie d’un numéro de compte et des détails de transactions,
5. le rapport d’un investisseur immobilier avec des adresses et des montants de prêts,
6. le calendrier des congés des salariés sur toute l’année.

Une réserve importante : il s’agit uniquement des conversations que les utilisateurs ont eux-mêmes partagées, et non de tous les chats privés. Claroc n’a pas non plus trouvé de trace d’une exploitation de ces données, et ne publie ni noms ni liens.

Comment Meta a-t-elle réagi ?

Claroc a signalé le problème via le programme de bug bounty de Meta le 8 octobre. Après l’article d’Ars Technica, Meta a indiqué que « we’ve paused this functionality while we review this report and consider changes to how these links can be discovered » (citation reprise par Dataconomy).

Le 20 octobre, les chercheurs ont revérifié 40 liens qui fonctionnaient auparavant, et aucun ne s’ouvrait plus. Les noms d’hôtes, et donc les titres des conversations, restent toutefois dans l’historique du DNS passif.

Pourquoi l’affaire fait-elle autant de bruit ?

Parce que Muse n’est pas un simple chatbot, mais un agent qui a accès à l’agenda, à la messagerie et aux documents, si bien que les conversations avec lui contiennent naturellement des données professionnelles et financières. Le fil consacré au sujet sur Hacker News a dépassé les 200 points, et le mécanisme est d’une simplicité frappante : aucun exploit, seulement des outils ordinaires et publics.

Ce n’est pas non plus le premier souci avec les conversations partagées. Cyber Security News rappelle des cas antérieurs de conversations partagées de ChatGPT, Grok et Claude qui se sont retrouvées en libre circulation. J’ai aussi écrit récemment sur la fuite d’OpenCode et sur la cyberattaque par IA contre plus de 100 entreprises : la sécurité des agents IA devient l’un des grands sujets de cet automne.

À quoi faire attention à l’avenir ?

D’abord, un lien « pour toute personne qui l’a » est en pratique une page publique. Ne partageons que ce que nous pourrions montrer au monde entier.

Ensuite, les titres des conversations. Avec Muse, c’est précisément eux qui ont fuité, alors n’y mettons ni noms de clients, ni montants, ni noms de personnes.

Enfin, faire le ménage derrière nous. Quand c’est possible, supprimons les pages partagées dès qu’elles ne servent plus (vérifions aussi nos anciens liens dans ChatGPT et les autres outils).

Claroc conseille aux entreprises de traiter la création de ces liens comme un envoi de données vers l’extérieur et, faute de contrôle, de bloquer muse.ai et metaaiusercontent.com sur les appareils de l’entreprise. Il faut garder en tête que Claroc vend des outils de surveillance de l’usage de l’IA et du SaaS, et que le rapport se termine par une publicité pour ceux-ci.

FAQ

La fuite Meta Muse concerne-t-elle toutes les conversations ?

Non. Selon le rapport de Claroc, elle ne concerne que les conversations partagées par lien. Les sessions privées n’étaient pas touchées par le problème décrit.

Les liens de partage Muse fonctionnent-ils encore ?

Selon Claroc, les 40 liens revérifiés ont cessé de fonctionner le 20 octobre, après que Meta a suspendu le partage. Les titres des conversations restent toutefois visibles dans l’historique du DNS passif.

Qu’est-ce que le DNS passif ?

Ce sont des bases de données qui enregistrent les requêtes DNS observées, c’est-à-dire les noms de domaine demandés par les ordinateurs, avec leurs adresses IP. On peut y faire des recherches, donc tout nom d’hôte visité par quelqu’un peut y rester longtemps.