НОВОСТЬ · COMPANIES · #2249
Исследователи: ссылки для шаринга в Meta Muse раскрывают конфиденциальное содержание бесед
Компания по кибербезопасности Claroc сообщила, что ссылки для шаринга в Muse используют домен cf.metaaiusercontent.com и включают название беседы в поддомен, что позволило исследователям через passive DNS перечислить примерно 6 800 ссылок и получить доступ к десяткам разговоров с конфиденциальной личной и деловой информацией. Claroc назвала это «GhostShares», считает поведение преднамеренным и заявила о попытке связаться с Meta без ответа; публикация следует за другими проблемами безопасности Muse, включая недавний zero-day для macOS, обнаруженный Патриком Уордлом.
КЛЮЧЕВЫЕ ТЕЗИСЫ
- Компания по кибербезопасности Claroc сообщила, что ссылки для шаринга в Muse используют домен cf.metaaiusercontent.com и включают название беседы в поддомен, что позволило исследователям через passive DNS перечислить примерно 6 800 ссылок и получить доступ к десяткам разговоров с конфиденциальной личной и деловой информацией.
- Claroc назвала это «GhostShares», считает поведение преднамеренным и заявила о попытке связаться с Meta без ответа; публикация следует за другими проблемами безопасности Muse, включая недавний zero-day для macOS, обнаруженный Патриком Уордлом.
- Решение включать названия бесед в URL-адреса шаринга Muse (на cf.metaaiusercontent.com) делает якобы приватные ссылки обнаружимыми через passive DNS, что создаёт существенные риски для приватности и безопасности.
БРИФ ДЛЯ РЕШЕНИЙ
УВЕРЕННОСТЬ
ЧТО ИЗМЕНИЛОСЬ
Исследователи из Claroc сообщили, что смогли перечислить примерно 6 800 ссылок «шаринга» Muse и, открыв несколько сотен, получили доступ к десяткам бесед с конфиденциальной личной и деловой информацией. Meta приостановила функцию шаринга Muse на время проверки отчёта и рассмотрения изменений.
ПОЧЕМУ СЕЙЧАС
Исследователи продемонстрировали простой воспроизводимый способ (с помощью passive DNS) обнаруживать множество URL-адресов для шаринга Muse и прямо показали наличие в них конфиденциального контента; Meta ответила приостановкой функции шаринга, что делает это вопросом актуального изменения продукта и приватности.
КОГО ЗАТРАГИВАЕТ
Непосредственно затронуты пользователи Muse, которые создавали ссылки для шаринга, а также лица и организации, упомянутые или отражённые в тех беседах, которые открывали исследователи. Косвенно затронуты пользователи, которые используют функцию шаринга Muse для приватного или конфиденциального контента.
ПОДТВЕРЖДЕНО
• Исследователи из Claroc перечислили примерно 6 800 ссылок для шаринга Muse. • Открыв несколько сотен таких ссылок, исследователи обнаружили беседы с конфиденциальной личной и деловой информацией (в материалах упоминаются: заметки кандидата для конфиденциального собеседования; внутренний обзор выручки компании; заявление на кредит малого бизнеса; список дел с предупреждением о банковском мошенничестве и частичным номером счёта; отчёт инвестора по недвижимости с адресами и финансовыми показателями; и календарь отпусков сотрудников). • Для обнаружения URL-адресов исследователи использовали passive DNS (записи passive DNS фиксировали разрешение доменных имён при клике по ссылке для шаринга). • Meta заявила, что приостановила функцию шаринга Muse, пока рассматривает отчёт и возможные изменения. • Meta сообщила, что открыла программу вознаграждений за баги (bug bounty) для Muse, чтобы исследователи могли сообщать разные сценарии и помогать улучшать продукт.
НЕОПРЕДЕЛЁННОСТЬ
Недостатки или противоречия в доступных выдержках: • В предоставленных выдержках не указана точная доменная структура или формат URL (например, содержится ли название беседы в поддомене) для ссылок Muse — в других сообщениях упоминался домен cf.metaaiusercontent.com, но этот строковый фрагмент отсутствует в этих выдержках. • По данным выдержек не установлено, было ли обнаруженное поведение преднамеренным конструктивным решением или неумышленной ошибкой. • Полный охват раскрытого контента за пределами выборки в несколько сотен ссылок (включая то, получал ли кто-либо доступ к этим ссылкам до исследователей) в выдержках не документируется. • Не описано, какие конкретно технические или политические изменения Meta намерена внедрить, если таковые будут. • В предоставленных выдержках нет данных о злоупотреблениях или злонамеренном использовании обнаруженных ссылок.
ЧТО ОТСЛЕЖИВАТЬ
Наблюдаемые сигналы для отслеживания (конкретно): • Публичные заявления или заметки продукта от Meta относительно шаринга Muse (повторное включение, изменение дизайна или постоянное отключение). • Сообщения в рамках bug-bounty или раскрытия уязвимостей от Meta или Claroc с техническими деталями о структуре ссылок и методе обнаружения. • Дополнительные отчёты или технические разборы от Claroc, показывающие точные шаги обнаружения, форматы URL или уточнённые подсчёты сверх первоначальных ~6 800. • Изменения в наборах данных passive DNS — снижение/удаление соответствующих записей или появление новых доменов для шаринга Muse. • Появление в СМИ или на площадках безопасности свидетельств доступа третьих сторон, эксплуатации или злоупотребления перечисленными ссылками. • Обновления документации Muse по приватности/безопасности или условий использования, описывающие поведение и защитные меры для шаринга.
ПОЧЕМУ ЭТО ВАЖНО
Решение включать названия бесед в URL-адреса шаринга Muse (на cf.metaaiusercontent.com) делает якобы приватные ссылки обнаружимыми через passive DNS, что создаёт существенные риски для приватности и безопасности.
КАРТА ДОКАЗАТЕЛЬСТВ
4Редакционные тезисы связаны с конкретными источниками. Отдельно отмечены подтверждения, противоречия и контекст.
Muse предоставляет функцию шаринга, которая создаёт уникальные веб-URL для обмена поисками, беседами, изображениями и похожим содержимым.
ПОДТВЕРЖДЕНОПроверено 2026-10-21 · 2 подтверждений
В отрывке Ars говорится о функции шаринга Muse и том, что она создаёт уникальные URL для общего контента.
ПОДТВЕРЖДАЕТ WIRED AIMEDIA · 2026-10-21В отрывке Wired говорится, что Muse позволяет делиться поисками, беседами и изображениями, создавая страницу по уникальному URL.
Исследователи сообщили, что им удалось перечислить примерно 6 800 ссылок для шаринга Muse.
ПОДТВЕРЖДЕНОПроверено 2026-10-21 · 2 подтверждений
После открытия нескольких сотен таких ссылок исследователи обнаружили явно не предназначавшуюся для публичного доступа конфиденциальную информацию, включая заметки кандидата для конфиденциального рекрутингового звонка; внутренний обзор выручки национальной маркетинговой компании; заявку малого бизнеса на кредит; список дел с уведомлением о банковском мошенничестве и частичным номером счёта; внутренний отчёт инвестора в недвижимость с адресами и точными финансовыми показателями; и годовой календарь отпусков сотрудников организации.
ПОДТВЕРЖДЕНОПроверено 2026-10-21 · 2 подтверждений
По данным Ars, самым простым способом обнаружить эти URL была passive DNS-поисковая проверка; passive DNS хранит исторические данные разрешения DNS.
ПОДТВЕРЖДЕНОПроверено 2026-10-21 · 1 подтверждений
Ars объясняет, что passive DNS — самый простой способ обнаружить URL, и описывает, какие данные хранятся в passive DNS-записях.
КОНТЕКСТ WIRED AIMEDIA · 2026-10-21Wired сообщает, что исследователи перечислили много ссылок, но в приведённом отрывке нет объяснения роли passive DNS.
ИСТОЧНИКИ И ХРОНОЛОГИЯ
2Muse, the new general-purpose AI agent from Meta, can expose sensitive information when users share conversations through web links, researchers reported Monday. In response to questions from Ars about the behavior, Meta said it’s suspending the sharing feature while the company reviews it and considers making changes. Like many online services, Muse has allowed users to share searches, conversations, images, and si…
Muse, the new general-purpose AI agent from Meta, can expose sensitive information when users share conversations through Web links, researchers reported Monday. Like many online services, Muse allows users to share searches, conversations, images, and similar content with other people. Such share features usually involve clicking an option to create a unique URL that anyone can use to load a page hosting the conten…