Meta暂停Muse对话分享功能，DNS记录暴露数千个分享链接
Miranda 10月24日消息，Meta旗下个人AI助手Muse的对话分享功能因隐私风险被暂停。网络安全研究团队Claroc在10月18日发布的报告中指出，通过被动DNS查询可发现超过6800个Muse分享页面域名，其中部分页面包含个人财务资料、企业内部文件和机密会议准备信息。Meta随后暂停该功能，并表示正在调查问题及评估改进方案。
根据报告，Muse会根据用户分享的对话标题生成网页地址，并部署在cf.metaaiusercontent.com域名下。由于对话标题被写入子域名，用户或接收者访问分享页面时，相关域名可能被被动DNS服务记录，进而出现在可查询的历史DNS数据库中。Claroc通过一次被动DNS查询发现超过6800个分享页面主机名，抽查数百个页面后，发现涉及企业营收审查文件、小企业贷款申请、银行欺诈警报、房地产投资数据以及员工年度休假安排等内容。报告还提到，一名候选人准备与一家前沿AI实验室负责人进行机密电话沟通的材料也被发现，其中包含内部联系人信息和会议时间。
Claroc指出，相关页面无需登录Meta账号即可访问，只要获得对应链接就能查看内容。问题并非攻击者破解随机生成的标识符，而是完整域名被记录在被动DNS数据库中，使研究人员可以通过查询重新发现这些分享地址。Claroc已于10月8日通过Meta的漏洞赏金计划提交该问题。Meta发言人回应称，用户可以分享特定Muse内容并生成链接访问页面，公司已暂停这一功能，以审查研究报告并考虑如何调整链接的可发现性。
Claroc在10月20日更新的报告中表示，重新检查此前能够在未登录状态下打开的40个分享页面，发现这些页面均已无法访问，相关主机名返回错误。不过，已进入被动DNS历史记录的域名及其对话标题仍然存在，暂停分享功能并不能彻底抹除此前留下的历史记录。研究团队同时强调，此次调查仅覆盖特定域名模式和一种发现渠道，不能据此推断Muse全部分享内容的暴露规模，也没有证据表明这些页面已被恶意利用。
