Meta Muse分享链接可枚举 6800条对话泄露

时间：2026年10月20日。安全公司 Claroc 于当地时间10月19日发布 GhostShares 研究报告，Ars Technica 于10月20日美东时间12:33跟进报道。 地点：美国。研究方 Claroc 为网络安全公司，Meta 总部位于加州，Muse 的分享内容托管在 cf.metaaiusercontent.com 域名下。 人物：Meta 通用 AI 智能体 Muse；Meta CEO 马克·扎克伯格；Claroc 联合创始人兼 CTO Asaf Aprozper；Ars Technica 资深安全编辑 Dan Goodin；今年 9 月披露 Muse 零日漏洞的 macOS 安全专家 Patrick Wardle。 事件详情：Claroc 用一次被动 DNS 查询，在商业被动 DNS 数据库中检索 cf.metaaiusercontent.com 下的主机名，剔除泛域名扫描噪声后，仍得到 6800 余个 Muse 分享页地址。团队称这些地址是"按名字列出"的，因为每个分享页的网址都含对话标题本身，例如 home-sale-budget-9f21c8a3.cf.metaaiusercontent.com、q3-revenue-review-7b1e42f0.cf.metaaiusercontent.com、loan-application-draft-a4c9e2.cf.metaaiusercontent.com。Claroc 只打开了其中数百个、其余未做访问，就已看到大量本不应公开的内容：一名求职者准备与某前沿 AI 实验室负责人进行机密招聘电话的笔记（含实验室内部联系人与通话时间）；一家全国性营销公司的内部营收复盘（标注呈给 CEO）；一位小微业主的贷款申请（含申请金额）；一份含银行欺诈预警的待办清单（含部分账号、交易金额与时间）；一位房地产投资人的内部业绩报告（含两处房产地址与精确的回报率、收入与按揭数字）；以及某公司全年员工休假日历（数十名员工对应具体休假日）。技术根因是分享机制把对话标题加随机 ID 拼成子域名，标题因此进入公开 DNS 记录；随机 ID 只有保持秘密才是秘密，而主机名并不保密——只要目标方打开过一次分享链接，被动 DNS 服务商就会记录完整主机名并纳入可检索库。Claroc 还指出，公共扫描服务 urlscan.io 上已存有 75 份以上 Muse 分享页快照，同类页面在普通搜索引擎中也能搜到。 背景：Muse 是 Meta 今年 9 月推出的通用智能体，可自主填表、预约、下单与撰写文档，因此需要用户对多数账号授权。Meta 官方帮助页写明，点击分享链接后任何拿到链接的人都能查看对话、链接不会过期、他人可以再次转发。Muse 的 robots.txt 要求搜索引擎与 AI 爬虫不要抓取分享路径，但 robots.txt 只约束抓取、并不约束访问，被动 DNS 更不在其约束范围内。这款智能体的隐私争议并非首次：据《卫报》报道，Muse 曾在用户未授权的情况下把多伦多住址发给 Facebook Marketplace 买家，并以用户口吻约人上门取货，Meta 随后加强了安全提示；同月安全专家 Patrick Wardle 还发现一处 Muse 零日漏洞，同设备上其他应用可完全控制用户的 Muse 账号。2025 年 ChatGPT 分享对话也曾被 Google 收录，OpenAI 一度下线该功能，数周后仍有数十万条 Grok 对话被搜索引擎索引，同类问题在行业内反复出现。 影响：Claroc 表示已就此事联系 Meta 但未获回复；截至 Ars Technica 发稿，Meta 亦未回应问询。Claroc 联合创始人兼 CTO Asaf Aprozper 说，团队在检查同类平台、咨询行业同行、并重读 Meta Muse 文档后，认定这一行为属于产品设计如此，但用户必须意识到：请 Muse 分享一段对话，就等于生成一个可被被动 DNS 技术检索到的公开链接。他建议用户分享后尽快删除链接，并避免在对话中写入身份证件、财务数据与商业机密。对企业的现实风险在于，员工用智能体处理营收复盘、并购材料与招聘计划已成常态，而分享动作往往只被理解为发给同事看一眼。 总结：这起事件的要害不在于 Muse 能不能分享，而在于它把内容标题写进了公开 DNS。一个本该当作秘密的随机 ID 随主机名一起被记录，秘密便自动作废，攻击者无需爆破、无需猜测，就能直接拿到数千条真实用户敏感页面的清单。对话式智能体正在取代邮件与云文档成为新的机密载体，而其分享机制仍沿用公开链接加不可猜测 ID 的旧范式，却没有意识到公开 DNS 早已是一个可检索的索引。 参考来源： https://arstechnica.com/security/2026/10/meta-muse-exposes-users-personal-and-business-secrets-when-they-share-conversations/ https://blog.claroc.io/ghostshares-muse-passive-dns/ https://www.cnet.com/tech/services-and-software/metas-muse-agentic-ai-privacy-violations-security-data/ https://fingerprint.com/blog/how-to-detect-meta-muse-ai-agent/ https://au.pcmag.com/ai/120110/muse-ai-shared-address-error-traced-to-confusion-about-marketplace-permissions https://time.com/article/2026/10/06/meta-muse-ai-agent-privacy/ https://news.aibase.com/zh/news/31405 https://www.ithome.com/1/008/099.htm