Meta* на время отключила ссылки на беседы с агентом Muse, пишет Ars Technica

Meta приостановила функцию, которая позволяла делиться беседами с ИИ-агентом Muse по ссылке. Компания подтвердила это Ars Technica, когда издание спросило её о находке исследователей Claroc¹.

Почему это важно: посторонний мог найти ссылку на беседу, как только её кто-то открывал, даже если пользователь отправил её одному человеку. Сам агент заполняет формы, делает покупки и получает доступ к большинству аккаунтов владельца, а при запуске в сентябре Марк Цукерберг говорил, что Muse «с нуля построен с расчётом на приватность и безопасность».

Повод: Claroc сделала один запрос к коммерческой базе пассивного DNS² и получила больше 6 800 адресов страниц, которые создаёт в Muse кнопка «поделиться». «Если бы нас спросили заранее, мы бы решили, что собрать их — серьёзная работа. Хватило одного запроса», — пишут исследователи.

Предыстория: сооснователь и технический директор Claroc Асаф Апрозпер рассказал Ars Technica, что 8 октября сообщил о проблеме через программу Meta, которая платит за найденные уязвимости. Он также писал сотрудникам компании в LinkedIn, но ответа не получил. Исследование вышло 18 октября, а 20 октября, после вопросов издания, Meta приостановила функцию.

Как это работает: Muse ставил заголовок беседы и случайный код прямо в имя сайта, получалось что-то вроде home-sale-budget-9f21c8a3.cf.metaaiusercontent.com. Остальную часть ссылки защищённое соединение шифрует, а имя сайта браузер открыто запрашивает у DNS — справочной службы интернета, которая по имени находит адрес сервера. Сервисы пассивного DNS записывают такие запросы и дают по ним искать, и «неугадываемый» код попадает в базу вместе с заголовком.

Детали: Claroc открыла несколько сотен найденных страниц, и для этого не требовалось входить в аккаунт. Чувствительные сведения нашлись в меньшей части из них, например:

• Заявка владельца малого бизнеса на кредит, где указана сумма, которую он просил у кредитора.
• Обзор выручки национальной маркетинговой компании, подготовленный для её главы и не предназначенный для посторонних.
• Список дел с банковским предупреждением о мошенничестве, где была часть номера счёта, сумма и время операции.
• Заметки кандидата на руководящую должность перед конфиденциальным разговором с передовой ИИ-лабораторией; в заметках названо контактное лицо в лаборатории.

Но: Claroc пишет, что не видела признаков злоупотребления этими ссылками. 6 800 — это число найденных адресов, а не пострадавших пользователей.

Другая сторона: «Мы приостановили эту функцию, пока изучаем отчёт и обдумываем изменения в том, как эти ссылки можно обнаружить», — сказал Ars Technica представитель Meta. 20 октября Claroc перепроверила 40 страниц, которые раньше открывались без входа, и ни одна уже не открылась. Удалит ли Meta созданные страницы и предупредит ли пользователей, компания не сказала.

Если шире: незадолго до этого глава брокера Charles Schwab рассказал Bloomberg, что брокер каждую неделю отсекает 10–20 попыток клиентов дать сторонним ИИ-агентам вроде Muse доступ к своему счёту.

Так уже было: Muse вышел 8 сентября, и проблемы с защитой у него уже находили, а у конкурентов похожие утечки случались и раньше:

• 21 сентября исследователь Патрик Уордл показал, что любая программа на том же Mac могла незаметно перехватить управление Muse; Meta исправила это на следующий день.
• 25 сентября The Information написала об уязвимости, через которую посторонний мог попасть в отдельную облачную виртуальную машину пользователя с его письмами и файлами.
• В августе 2025 года, по данным Forbes, в поиск Google попали больше 370 000 бесед с чат-ботом Grok, которыми пользователи делились по ссылке.