Meta Muse 通过可发现的共享链接暴露敏感数据

Meta Muse 是一款通用型 AI 代理，当对话通过网页链接共享时，它会暴露用户的敏感数据，因为这些链接可以通过被动 DNS 记录轻松发现。针对这些安全发现，Meta 已暂停共享功能，同时审查该功能并考虑实施更改。

核心漏洞

该漏洞源于 Muse 构建共享 URL 时的一个核心设计决策。系统没有使用安全、不可猜测的唯一标识符，而是将对话名称直接嵌入 URL 的子域中。这种结构使得外部方无需原始链接即可枚举和发现共享内容。

来自安全公司 Claroc 的研究人员能够枚举 Muse 用户创建的 6,800 个链接。在检查了其中几百个链接后，研究人员发现了高度敏感且不打算公开访问的信息。暴露数据的示例包括：

• 一位候选人为准备机密高管搜索电话而做的笔记，包括某前沿 AI 实验室的内部联系人和会议时间。
• 一家全国性营销公司的内部收入审查，标记为发送给其 CEO。
• 一位小企业主的贷款申请，详细说明了申请金额。
• 一份包含银行欺诈警报的待办事项列表，包括部分账号和交易详情。
• 一位房地产投资者的内部绩效报告，列出了房产地址和精确财务数据。
• 一个工作场所的全年员工休假日历，列出了数十名员工及其休假周数。

发现的技术机制

发现的容易程度得益于被动 DNS 记录的使用。被动 DNS 系统从 DNS 解析器收集历史解析数据，包括域名到 IP 地址的映射。当用户点击 Muse 共享链接时，DNS 信息会被记录在可搜索的数据库中。

Claroc 研究人员识别出 Muse 共享链接，因为它们都使用域名 cf.metaaiusercontent.com。关键缺陷在于子域中包含了对话标题，例如 home-sale-budget-9f21c8a3.cf.metaaiusercontent.com。这种设计选择使得内容标题可以通过被动 DNS 搜索公开发现，研究人员将这种现象称为“GhostShares”。

Meta 的回应与缓解措施

Meta 承认了该问题，并通过电子邮件声明回应了 Ars Technica 的提问。Meta 表示，公司开放了 Muse 漏洞赏金计划，以鼓励研究人员识别各种场景并帮助改进产品。公司确认已暂停共享功能，同时审查报告并考虑更改这些链接的发现方式。

Claroc 联合创始人兼 CTO Asaf Aprozper 指出，他于 10 月 8 日通过 Meta 的漏洞赏金计划报告了这些发现，但在尝试通过 LinkedIn 联系 Meta 代表时未收到回复。

更广泛的安全背景

该漏洞凸显了部署功能强大、高权限 AI 代理时的重大安全问题。Muse 需要广泛访问用户账户才能运行，这引发了用户必须对平台给予信任的担忧。

除了共享链接漏洞外，该平台还面临其他安全问题。在其发布三周后，macOS 安全专家 Patrick Wardle 发现了一个零日漏洞，允许同一设备上的任何其他应用完全控制用户的 Muse 账户。Meta 淡化了这一发现，但共享链接的易发现性进一步加剧了人们对 Muse 整体安全状况的质疑。

评论者综合了关于 AI 助手相关风险和责任的几点意见：

“共享链接的易发现性进一步证明，Muse 是否值得获得它所要求的访问权限。”

另一个讨论点聚焦于大型科技公司处理敏感数据的更广泛影响：

“Muse 是最明显注定失败的爪式机器人，因为你已经需要将这些事物与任何个人信息隔离，而 Meta 像一本会告诉所有人你写了什么的日记一样走进房间，说‘相信我’。这是 FAANG 公司巨大问题的一部分。”

隐私的替代方法

针对集中式、数据密集型 AI 平台带来的隐私风险，一些用户和开发者正在探索自托管和去中心化解决方案。一位评论者指出了自托管选项的可行性，表示：

“...也会有可行的自托管选项。我已经在这样做了 [链接到 GitHub 仓库]。Hub 通过单一设备为整个家庭的推理需求提供支持——4 个用户、8 台设备、约 50 个代理——混合使用本地模型和一些订阅。”

这些替代方案表明，对于优先考虑数据主权的用户来说，利用开放权重模型和区域云服务是一个日益增长的趋势。