Meta Muse情報漏洩：共有チャット6800件が公開DNSに

10月18日、Claroc社が「GhostShares」レポートを公開し、Meta Museの情報漏洩が明らかになりました。MetaのAIエージェントMuseで共有された会話が、公開DNSレコードから見つけられる状態だったのです。10月20日にはArs Technicaがこの件を報じ、Metaは共有機能を停止しました。

Meta Muse情報漏洩の詳細

Museは、Metaが9月8日に公開したAIエージェントです。ウェブ検索、フォームの入力、予定の調整ができ、カレンダーやメールを含むユーザーのアカウントとも連携します（Gadget Reviewの説明による）。会話はリンクで共有でき、問題はまさにこのリンクの作り方にありました。

Clarocのレポートによると、共有された会話のアドレスは、その会話のタイトルとランダムなIDから作られ、cf.metaaiusercontent.comドメインのサブドメイン名に埋め込まれていました。レポートには「Muse names each share’s web address after the conversation’s own title, and that address is written into public DNS」と書かれています。

つまり、次のようなことが起きていました。

1. 誰かが共有リンクを開くと、そのブラウザは完全なホスト名でDNSに問い合わせます。
2. パッシブDNSサービスはこうした問い合わせを記録し、検索可能にしているため、ホスト名と「秘密の」IDがそのまま履歴に残ります。
3. ホスト名だけで動作するリンクを復元でき、タイトルからはページを開く前に会話の内容が分かることも多くありました。

不正侵入もパスワードの推測もありません。Clarocによれば、パッシブDNSを一度検索するだけで、何千ものアドレスがまるで目次のように（「like a table of contents」）返ってきたそうです。研究者の言葉を借りれば、IDが秘密として機能するのは秘密である間だけで、「a hostname is not a secret」です。robots.txtは検索エンジンに共有ページを避けるよう求めていましたが、これはインデックス登録を制御するだけで、アクセスそのものは防げません（そもそも研究者は検索エンジンを使う必要すらありませんでした）。

何が漏れたのか？

ノイズを除外した結果、Clarocは共有された会話のホスト名を6800件以上見つけました。urlscan.ioにはこうしたページのスキャン結果がすでに75件以上保存されていました。研究者が実際に開いたのは数百件だけです。大半は無害でしたが、中には次のようなものがありました。

1. 大手AIラボの非公開の採用面接に向けた候補者の準備。担当者の名前と面接時刻まで含まれていたもの
2. マーケティング会社がCEO向けにまとめた社内の売上レビュー
3. 申請額が記載された中小企業の融資申込書
4. 銀行の不正利用アラート、口座番号の一部、取引の詳細を含むToDoリスト
5. 住所と住宅ローン額を含む不動産投資家のレポート
6. 従業員の1年分の休暇カレンダー

重要な注意点として、対象はユーザーが自ら共有した会話だけで、すべての非公開チャットではありません。Clarocはデータが悪用された痕跡も見つけておらず、名前やリンクも公開していません。

Metaはどう対応したのか？

Clarocは10月8日にMetaのバグバウンティプログラムを通じて問題を報告しました。Ars Technicaの報道を受けて、Metaは「we’ve paused this functionality while we review this report and consider changes to how these links can be discovered」とコメントしています（Dataconomyより引用）。

10月20日、研究者が以前は開けた40件のリンクを再確認したところ、どれも開けなくなっていました。ただし、ホスト名、つまり会話のタイトルは、パッシブDNSの履歴に残ったままです。

なぜこれほど話題になっているのか？

Museは普通のチャットボットではなく、カレンダー、メール、文書にアクセスできるエージェントだからです。当然、会話には企業や金融に関するデータが含まれます。Hacker Newsのスレッドは200ポイントを超え、仕組みも驚くほど単純でした。エクスプロイトは一切なく、誰でも使える公開ツールだけです。

共有チャットをめぐる問題はこれが初めてではありません。Cyber Security Newsは、ChatGPT、Grok、Claudeで共有された会話が公開の場に出回った過去の事例を挙げています。最近はOpenCodeのAPIキー漏洩や100社以上を狙ったAIサイバー攻撃についても書きました。AIエージェントのセキュリティは、この秋の大きなテーマになりつつあります。

今後気をつけるべきことは？

1つ目は、「リンクを知っている全員」向けのリンクは、実質的に公開ページだということ。世界に見せても構わないものだけを共有しましょう。

2つ目は、会話のタイトルです。Museの件で漏れたのはまさにタイトルでした。顧客名、金額、人名は入れないようにしましょう。

3つ目は、後片付けです。可能な場所では、不要になった共有ページを削除しましょう (ChatGPTなど他のツールの古いリンクも確認しておきましょう)。

Clarocは企業に対し、こうしたリンクの作成を外部へのデータ送信と同じように扱い、管理できない場合は社用端末でmuse.aiとmetaaiusercontent.comをブロックするよう勧めています。なお、ClarocはAIやSaaSの利用を監視するツールを販売しており、レポートの最後は自社製品の宣伝で締めくくられている点も覚えておくべきでしょう。

FAQ

Meta Museの情報漏洩はすべての会話が対象ですか？

いいえ。Clarocのレポートによると、対象はリンクで共有された会話だけです。非公開のセッションは今回の問題の対象外でした。

Museの共有リンクはまだ開けますか？

Clarocによると、再確認した40件のリンクは、Metaが共有機能を停止した後の10月20日に開けなくなりました。ただし、会話のタイトルはパッシブDNSの履歴に残っています。

パッシブDNSとは何ですか？

観測されたDNSの問い合わせ、つまりコンピューターが問い合わせたドメイン名とそのIPアドレスを記録するデータベースです。検索できるため、誰かがアクセスしたホスト名は長期間そこに残る可能性があります。