Meta Muse AI 隐私漏洞通过 DNS 泄露暴露 6,800 条共享聊天

Claroc 并未入侵任何系统来发现这 6,800 多条暴露的 Meta Muse 对话——它仅对域名 cf.metaaiusercontent.com 执行了一次被动 DNS 搜索，结果便“按名称列出，如同目录一般”。^[1]Muse 的共享功能将每段对话的网址由聊天标题加上一个随机标识符构成，由于该地址位于主机名而非 URL 路径中，因此在链接创建的瞬间，标题便直接写入公共 DNS 记录。 ^[2]这正是设计缺陷的核心所在：在加密的 HTTPS 会话开始之前，主机名必须通过 DNS 解析，因此无论后续加密请求中发生什么，被动 DNS 收集系统都会记录它。相比之下，URL 路径永远不会离开加密隧道。正如该发现所指出的：“正是这最后的设计决策——将对话标题置于子域名而非 URL 路径中——使得公开发现成为可能。” ^[2]

该公司将这些暴露的页面称为“GhostShares”——任何偶然发现它们的人都可以打开这些对话，而非分享者原本希望传达的对象。 ^[3]一旦主机名被知晓，打开受影响的页面无需密码、登录或 Muse 账户，这意味着 Meta 依赖的用于隐蔽性的随机标识符在已被记录后实际上毫无保护作用。 ^[4]这使得该漏洞异常容易大规模利用：一次查询，成千上万条私人标题便免费浮出水面。

Claroc 于 2026 年 10 月 8 日通过 Meta 的漏洞赏金计划报告了该问题，此前数日已对部分共享页面进行了抽查。 ^[1]它于 10 月 18 日公开发布了其 GhostShares 研究。Meta 直到 10 月 20 日才禁用共享功能——即在该研究公开两天后，且仅在 Ars Technica 直接向公司询问发现情况后才采取行动。 ^[2]Meta 的声明并未否认任何内容：“我们已暂停此功能，同时审查该报告并考虑如何更改这些链接的可发现性。” ^[2]考虑到十二天的延迟，Claroc 的反应显得格外宽容：“我们很高兴看到它如此迅速地被关闭。” ^[5]然而，这句赞扬背后的真实紧张感显而易见——该修复措施更明显地追踪了媒体审查，而非最初的私下披露。

暂停新共享功能无法挽回已经发生的事。Muse 生成的主机名——包括标题——将无限期保留在历史被动 DNS 记录中，因此即使该功能现已关闭，任何愿意搜索历史记录的人都仍可找到此前创建的共享链接。 ^[2]这之所以重要，是因为实际暴露的内容包括：标记给 CEO 的内部营收审查、列出申请金额的小企业贷款申请、显示部分账号的银行欺诈警报、一整年员工休假日历、包含房产地址的房地产投资报告，以及为候选人准备与前沿 AI 实验室进行高管招聘通话的保密笔记。 ^[1]Claroc 表示，目前尚无证据表明这些信息被滥用，但它也无法说明这些链接在被发现前已可访问多久。

Muse 并非首个将共享对话泄露至公众视野的 AI 助手。2025 年 8 月，OpenAI 的 ChatGPT 提供了一个可选的“让此对话可被发现”开关，允许谷歌索引约 4,500 条共享对话——其中一些包含敏感的医疗、个人和商业信息——随后 OpenAI 在数日内撤下了该功能。 ^[6]同年，另有超过 37 万条共享的 Grok 对话被谷歌索引，类似模式据报道在 2026 年中旬也波及了 Claude 的共享对话链接。 ^[6]Muse 的不同之处在于，甚至无需搜索引擎索引——仅靠被动 DNS 就已足够，这意味着阻止爬虫的常规缓解措施根本无济于事，因为 DNS 解析发生在任何爬虫介入之前。

社交媒体平台上的反应普遍持批评态度，直白地将该漏洞定性为安全失败，使用户面临身份盗窃风险，且未见明显辩护声音反驳这一描述。在 Reddit 上，主流情绪更接近无奈的黑色幽默，被视为 Meta 隐私历史下的可预见结果，尽管一条显著持异议的评论反驳了 Meta 特有的归因，指出其他聊天机器人制造商也犯过同类错误，并主张真正的解决方案应是将共享限制在经过身份验证的账户内，而非依赖隐蔽链接。这种分歧——系统性行业设计缺陷 vs. Meta 特有的疏忽——很可能将持续重现，因为越来越多公司急于在 AI 助手上添加共享按钮，却未重新思考链接本身究竟暴露了什么。

DNS 泄露是一个狭义的漏洞，但它浮出水面的同时，也伴随着对 Muse 安全架构更广泛的内部批评。独立研究员 Patrick Wardle 指出，Muse 的内部架构（代号“Hatch”）本质上具有风险，因为它依赖虚拟化边界来承担生产安全边界的职责：“问题在于 Hatch 将虚拟化边界当作生产安全边界……我觉得这种设计本质上就很危险，尤其随着 AI 降低了发现、分析和利用这类复杂虚拟化漏洞的成本，风险更高。” ^[7]一名未具名的 Meta 内部人士进一步表示，围绕 Muse 发布匆忙推出的“半成品保护措施”仅为推动发布服务，另有报道援引未具名的 Meta 高级工程师，称他们认为“由于 Hatch 的存在，发生大规模数据泄露是不可避免的”。 ^[7]

Muse 于 2026 年 9 月 8 日发布——意味着 GhostShares 暴露在助手上线约一个月后即被发现。 ^[1]对安全担忧的报道还与 Meta 股价报告的 3.4% 下跌相关。 ^[8]结合 DNS 漏洞来看，所呈现的图景更像是一种模式，而非单一工程失误：一项功能在压缩的时间表内仓促推出，内部审查流于形式，以至于高级员工在任何公开事件发生前就已表达疑虑，并通过产品团队似乎完全未对隐私进行威胁建模的基础设施暴露于外部。