Muse 分享链接曝隐私风险 Meta 暂停功能

驱动中国10月24日消息，Meta 旗下个人 AI 助手 Muse 的对话分享功能被曝存在隐私风险。网络安全研究团队 Claroc 通过被动 DNS 查询发现超过6800个 Muse 分享页面可被检索，部分页面包含敏感信息，Meta 已暂停相关功能并展开调查。

Claroc 在10月18日发布的报告中称，研究人员查询被动 DNS 记录时，发现超过6800个 Muse 分享页面对应的主机名可以被检索到。部分检索结果涉及个人财务资料、企业内部文件以及机密会议准备信息。

报告指出，Muse 会根据用户分享的对话标题生成网页地址，并将页面部署在 cf.metaaiusercontent.com 域名下。由于对话标题被写入子域名，用户或接收者访问分享页面时，相关域名可能被被动 DNS 服务记录，并进入可查询的历史 DNS 数据库。一次被动 DNS 查询即可发现上述超过6800个分享页面主机名。

Claroc 团队抽查了数百个页面，发现其中部分内容涉及企业营收审查文件、小企业贷款申请、银行欺诈警报、房地产投资数据以及员工年度休假安排等敏感信息。研究人员还发现，一名候选人为与一家前沿 AI 实验室负责人进行机密电话沟通准备的材料中，包含内部联系人信息和会议时间。

该团队表示，相关页面无需登录 Meta 账号即可访问，只要获得对应链接即可查看内容。问题并非来自攻击者破解随机生成的标识符，而是完整域名被记录在被动 DNS 数据库中，研究人员可通过查询重新发现这些分享地址。

Claroc 于10月8日通过 Meta 的漏洞赏金计划提交了相关问题。Meta 发言人回应称，用户可以分享特定的 Muse 内容，并生成可通过链接访问的页面；公司已暂停这一功能，以审查研究报告并考虑如何调整链接的可发现性。

Claroc 在10月20日更新的报告中表示，研究团队重新检查了此前能够在未登录状态下打开的40个分享页面，发现这些页面均已无法访问，相关主机名返回错误。不过，已经进入被动 DNS 历史记录的域名及其对话标题仍然存在，暂停分享功能并不能彻底消除此前留下的历史记录。