Meta Muse泄露：6800条分享对话出现在公共DNS中

10月18日，Claroc公司发布了《GhostShares》报告，揭露了Meta Muse泄露问题：用户通过Meta的AI智能体Muse分享的对话，可以通过公共DNS记录找到。10月20日，Ars Technica报道了此事，Meta随即暂停了分享功能。

Meta Muse泄露的细节

Muse是Meta于9月8日推出的AI智能体。它能搜索网页、填写表单、安排会议，还能连接用户的账户，包括日历和邮箱（据Gadget Review的描述）。对话可以通过链接分享，而问题恰恰出在这个链接的构造上。

根据Claroc的报告，每个分享对话的地址由其标题和一个随机标识符组成，放在cf.metaaiusercontent.com域名下的子域名中。报告写道：“Muse names each share’s web address after the conversation’s own title, and that address is written into public DNS”。

这意味着：

1. 有人打开分享链接时，浏览器会向DNS查询完整的主机名。
2. 被动DNS服务会记录这些查询并提供检索，于是主机名连同“秘密”标识符一起留在了历史记录里。
3. 仅凭主机名就能还原出可用的链接，而标题往往在页面加载之前就暴露了对话主题。

这里没有入侵，也没有猜密码：据Claroc称，在被动DNS中搜索一次，就会返回成千上万个这样的地址，简直像一份目录（原话是“like a table of contents”）。研究人员指出，标识符只有在保密时才算秘密，而“a hostname is not a secret”。robots.txt文件要求搜索引擎绕开分享页面，但它只管索引，管不了访问本身（何况研究人员根本没用到搜索引擎）。

泄露了什么？

过滤掉噪音后，Claroc找到了超过6800个分享对话的主机名，而urlscan.io上已经保存了这类页面的75次以上扫描。研究人员只打开了其中几百个。大多数无关紧要，但其中包括：

1. 一位候选人为与某家顶级AI实验室的保密面试做的准备，包含联系人姓名和面试时间；
2. 一家营销公司为其CEO准备的内部收入复盘；
3. 一家小企业的贷款申请，附有申请金额；
4. 一份待办清单，里面有银行欺诈警报、部分账号和交易详情；
5. 一位房地产投资者的报告，包含地址和贷款金额；
6. 员工全年的休假日历。

需要强调的是：涉及的仅是用户主动分享的对话，而不是所有私人聊天。Claroc也没有发现有人利用这些数据的迹象，并且没有公开任何姓名或链接。

Meta如何回应？

Claroc于10月8日通过Meta的漏洞赏金计划报告了这个问题。Ars Technica报道后，Meta表示：“we’ve paused this functionality while we review this report and consider changes to how these links can be discovered”（引自Dataconomy）。

10月20日，研究人员重新检查了40个此前可以打开的链接，已全部失效。但主机名，也就是对话标题，仍然留在被动DNS的历史记录中。

为什么引发热议？

因为Muse不是普通的聊天机器人，而是能访问日历、邮箱和文档的智能体，与它的对话天然包含公司和财务数据。Hacker News上的相关讨论获得了200多分，而且这个机制简单得出奇：没有任何漏洞利用代码，只用了普通的公开工具。

这也不是分享对话第一次出问题。Cyber Security News提到，此前ChatGPT、Grok和Claude的分享对话也曾流入公共领域。我最近还写过OpenCode的API密钥泄露和针对100多家公司的AI黑客攻击：AI智能体的安全正在成为今年秋天的核心话题之一。

今后应该注意什么？

第一，“任何拥有链接的人”都能打开的链接，实际上就是公开页面。只分享可以公之于众的内容。

第二，对话标题。在Muse事件中，泄露的正是标题，所以不要在标题里写客户名称、金额或人名。

第三，及时清理。在可以的地方，不再需要的分享页面就删掉 (也检查一下ChatGPT等工具里的旧链接)。

Claroc建议企业把创建这类链接视同向外发送数据；如果无法管控，就在公司设备上屏蔽muse.ai和metaaiusercontent.com。同时也要记住，Claroc本身销售AI和SaaS使用监控工具，报告结尾就是它们的产品广告。

FAQ

Meta Muse泄露涉及所有对话吗？

不是。根据Claroc的报告，只涉及通过链接分享的对话。私人会话不受所述问题影响。

Muse的分享链接现在还能打开吗？

据Claroc称，在Meta暂停分享功能后，重新检查的40个链接已于10月20日失效。不过，对话标题仍留在被动DNS的历史记录中。

什么是被动DNS？

被动DNS是记录所观测到的DNS查询的数据库，即计算机查询过的域名及其IP地址。这些数据可以检索，因此任何被访问过的主机名都可能在里面保存很久。