Przejdź do treści

Meta Muse: 6800 linków do rozmów wyliczonych jednym zapytaniem

Adam Marzec
Okładka artykułu o wycieku Meta Muse: tytuł rozmowy trafił do publicznego DNS, pasywny DNS ujawnił ponad 6800 hostów, setki stron otwarto bez logowania, zgłoszenie bug bounty z 8 października bez odpowiedzi

Firma bezpieczeństwa Claroc poinformowała 18 października, że wyliczyła ponad 6800 linków, którymi użytkownicy Meta Muse udostępnili swoje rozmowy z agentem. Wystarczyło jedno zapytanie do komercyjnej usługi pasywnego DNS. Badacze otworzyli kilkaset takich stron bez konta Meta i bez logowania, a wśród nich notatki kandydata przed poufną rozmową rekrutacyjną z laboratorium AI, wewnętrzny przegląd przychodów firmy marketingowej oznaczony dla CEO, wniosek kredytowy właściciela małej firmy z kwotą albo roczny kalendarz urlopów całej firmy.

20 października, po pytaniach Arsa Technica, Meta oświadczyła, że wstrzymuje udostępnianie do odwołania. W tym tekście pokazuję, dlaczego do wycieku doszło, co znaleziono w tych stronach i jak z udostępnianiem rozmów wyglądają ChatGPT, Claude i Gemini.

Najważniejsze informacje

CoSzczegóły
Liczba linkówPonad 6800 adresów do udostępnionych rozmów po odfiltrowaniu szumu, jedno zapytanie do usługi pasywnego DNS (Claroc, 18.10.2026)
Ile stron otwartoKilkaset; prawie każdy żywy link otwierał się bez konta i bez ekranu logowania
Kto odkryłClaroc; zgłoszenie podpisuje współzałożyciel i CTO firmy Asaf Aprozper
Zgłoszenie do Mety8 października przez program bug bounty, z krokami reprodukcji; odpowiedzi nie było (Ars Technica, 20.10)
Reakcja Mety20 października wstrzymanie funkcji „do czasu przejrzenia raportu i rozważenia zmian”
Weryfikacja po wstrzymaniuClaroc sprawdził ponownie 40 linków z października: żaden się nie otworzył, serwery zwracają błąd
Przyczyna technicznaAdres budowany z tytułu rozmowy plus losowy identyfikator na domenie cf.metaaiusercontent.com, hostname trafia do publicznego DNS
Premiera Muse8 września 2026 (Meta Newsroom), wydany w USA na iOS, Androida i web

Jak jedno zapytanie wyliczyło 6800 linków

Udostępnianie rozmów przez link to standard w narzędziach AI: klikasz Share, dostajesz adres, a żeby nikt obcy nie wszedł, adres zwykle zawiera długi losowy ciąg, którego nie da się zgadnąć. Muse z zewnątrz wyglądał tak samo.

Różnica siedziała w jednym szczególe. Muse budował adres każdej udostępnionej strony z tytułu rozmowy plus krótkiego losowego identyfikatora, a całość stawiał jako subdomenę na domenie cf.metaaiusercontent.com. Tytuł mówił wprost, co jest w środku; Claroc podaje schemat konstrukcji: home-sale-budget-9f21c8a3.cf.metaaiusercontent.com albo loan-application-draft-a4c9e2.cf.metaaiusercontent.com. To przykłady ilustracyjne, tytuły i identyfikatory są w nich zmyślone, bo firma zataiła prawdziwe.

Losowy identyfikator nie ratował, bo drugi element układanki to pasywny DNS, usługi zbierające zapytania DNS widziane przez resolvery i trzymające je w przeszukiwalnych bazach. Gdy odbiorca kliknął w link, przeglądarka rozwiązywała nazwę hosta na adres IP i ta resolucja lądowała w publicznym indeksie, razem z tytułem i identyfikatorem. Posiadacz dostępu do takiej usługi odpytywał bazę o hosty pod cf.metaaiusercontent.com i dostawał gotową listę, po nazwach jak spis treści; po odfiltrowaniu szumu zostało ponad 6800 pozycji.

Claroc zaznacza, że niczego nie zgadywał i niczego nie łamał: każdy hostname przyszedł od dostawcy danych i odpowiadał jednemu udostępnieniu. Autorzy pisali: „Jeśliście nas wcześniej zapytali, zgadlibyśmy, że zebranie tego zajmie prawdziwy wysiłek”. A potem dodali po angielsku: „It took one query”.

Badacze opisali też drugą, prostszą drogę: urlscan.io, publiczna usługa do skanowania adresów, trzymała ponad 75 zapisanych skanów stron udostępnień Muse, bo ktoś wcześniej wklejał tam te linki. Robots.txt Mety nie miał tu znaczenia: rządzi indeksowaniem, nie dostępem, a odkrycie nie przechodziło przez wyszukiwarkę.

Ten typ wycieku nie jest nowy. W 2025 roku udostępnione rozmowy ChatGPT wylądowały w wynikach Google i OpenAI wycofało opcję, która to umożliwiała, a tygodnie później Google zindeksowało ponad 370 000 rozmów Groka. Nowość w Muse polegała na tym, że wystarczyło odpytać DNS, bez żadnej wyszukiwarki. W dyskusji na Hacker News (wątek z 21.10, 51 punktów w momencie odczytu) użytkownik omoikane streścił lekcję: nazwy subdomen da się odpytać przez pasywny DNS, a trzymanie tego, co ma być nieodgadnialne, w subdomenie to zły pomysł.

Muse to usługa chmurowa zbudowana na modelu Muse Spark i to usługę dotyczy wyciek, nie sam model. Wagi Spark Meta opublikowała też na otwartej licencji, o czym pisałem w tekście Muse Spark Open: Meta publikuje wagi. Co można zrobić z najmocniejszym otwartym modelem z USA?.

Co znaleziono w tych stronach

Większość otwartych stron była nieszkodliwa: strony małych firm, ogłoszenia, kalendarze imprez. Problem stanowiła mniejszość, z której Claroc opisał sześć przypadków, bez nazw i linków:

  • notatki kandydata przed poufną rozmową rekrutacyjną z czołowym laboratorium AI, z nazwiskiem kontaktu po stronie laboratorium i godziną spotkania,
  • wewnętrzny przegląd przychodów ogólnokrajowej firmy marketingowej, oznaczony dla CEO,
  • wniosek kredytowy właściciela małej firmy z kwotą, o którą wnioskował,
  • lista zadań z alertem o oszustwie bankowym, częścią numeru konta, kwotą i godziną transakcji,
  • wewnętrzny raport inwestora nieruchomości z dwoma adresami i dokładnymi liczbami zwrotu, dochodu i kredytu,
  • roczny kalendarz urlopów w firmie, z nazwiskami dziesiątek pracowników przypisanymi do tygodni.

W tych sześciu przypadkach nie chodziło o hasła ani dane kart. Wystawiona została inna warstwa: ktoś poprosił asystenta o pomoc w sprawie, którą traktował jako poufną, i jednym kliknięciem wystawił ją na świat bez żadnej informacji, że tak się stało. Claroc zaznacza, że nie ma dowodów na nadużycie, ale potwierdził w publicznych źródłach, że dwie firmy z opisanych przypadków są prawdziwe. Notatka przed rozmową rekrutacyjną ujawnia poza treścią fakt, kto się z tym laboratorium spotyka i kiedy: gotowy materiał pod socjotechnikę.

Nazwę tego wzorca badacze ukuli sami: GhostShares, strony, które otwierają się dla ludzi, którym nikt nie podał linku, i które ci ludzie mogą znaleźć sami.

Reakcja Mety i szerszy kontekst zaufania

Meta odpowiedziała Arsowi w oświadczeniu z 20 października, że „wstrzymała tę funkcję do czasu przejrzenia raportu i rozważenia zmian w tym, jak te linki mogą być odnajdywane”. Claroc zweryfikował wstrzymanie tego samego dnia: z 40 wcześniej działających linków żaden już się nie otwierał. Same nazwy hostów, tytuły włącznie, zostały w historii pasywnego DNS, więc „wyciek adresów” da się cofnąć tylko częściowo.

Timing wart odnotowania. Zgłoszenie przez bug bounty poszło 8 października, z krokami reprodukcji i przykładami; CTO Claroc próbował też sięgnąć do ludzi z Mety przez LinkedIn, bez odpowiedzi. Badanie opublikowano 18 października, Ars napisał o nim 20 października i dopiero wtedy funkcja zamarła. Sam program bug bounty Muse przewiduje do 300 000 USD za zgłoszenie (Meta Research, 8.09).

Przypomnijmy reklamę produktu. Zuckerberg mówił o Muse, że jest „built from the ground up for privacy and security”, czyli zbudowany od podstaw pod kątem prywatności i bezpieczeństwa (Ars Technica, 21.09). W poście premierowym Muse dostaje własną maszynę wirtualną w chmurze i osobnego agenta Sentinel pilnującego wyjść w sieć, a komunikat deklaruje wprost, że Muse nie udostępnia rozmów systemom reklamowym Mety. O tym, że linki do rozmów lądują w publicznym DNS, ani słowa.

To nie był pierwszy sygnał. Trzy tygodnie po premierze badacz Patrick Wardle pokazał zero-day, w którym dowolna aplikacja na tym samym komputerze Mac przejmowała token konta Muse (Ars Technica, 21.09); poprawka przyszła po ponad 12 godzinach. Muse to agent z dostępem do poczty, kalendarza, przeglądarki i płatności, więc błędy projektowe biją w innej klasie niż w czatbocie; o zasadach ograniczania takich ryzyk pisaliśmy w tekście Agenci AI: bezpieczeństwo.

Udostępnianie rozmów w ChatGPT, Claude i Gemini

Skoro mechanizm w Muse był nietypowy, sprawdziłem w dokumentacjach, jak z linkami wyglądają pozostali wielcy.

W ChatGPT przycisk Share tworzy publiczny link do rozmowy. Po wycieku z 2025 roku OpenAI wycofało opcję indeksowania, więc link „nie będzie wykrywalny w Google”, opisuje to poradnik Tom’s Guide u Yahoo Tech; usuwa się go w Data Controls, a po usunięciu adres zwraca 404. Ktoś, kto zaimportował rozmowę do własnej historii, widzi jej treść nadal.

Claude dokumentuje publiczne linki najprzejrzyściej: każdy z linkiem otwiera migawkę rozmowy bez konta, ale strona ma instrukcję noindex, link jest „długim losowym ciągiem, którego nie da się odgadnąć”, a załączone pliki i surowe dane wywołań MCP pozostają prywatne. Plany Team i Enterprise udostępniają tylko wewnątrz organizacji. Anthropic kończy całość radą wartą przepisania: traktuj publiczny link jako publiczny.

Gemini jest najbardziej gościnny, a przez to najmniej wygodny w audycie. Pomoc Google opisuje link g.co/gemini/share: każdy, kto go ma, może rozmowę czytać, przekazywać dalej i, poza czatami z Gemami oraz kontami osób poniżej 18 lat, kontynuować ją z własnego konta. Udostępniana jest cała rozmowa, wgrane obrazy są do pobrania, a Google wprost każe nie wpisywać do rozmów informacji poufnych.

W żadnej z tych trzech usług tytuł rozmowy nie buduje nazwy hosta, więc droga z Muse, wyliczenie całej bazy linków jednym zapytaniem DNS, tam nie istniała. Wspólny mianownik jest jednak prawdziwy: wszędzie link jest publiczny w sensie „kto ma adres, ten wejdzie”, a jego drugie życie zaczyna się na forum, w DNS albo w bazie skanerów.

Co z tego wynika dla kogoś z Polski

Muse wydano 8 września w USA, na iOS, Androida i web (Wikipedia, odczyt 21.10). Pomoc Mety mówi za to wprost: „The Muse app and website are not yet available everywhere”, czyli aplikacja i strona nie są jeszcze dostępne wszędzie (odczyt 21.10). O Polsce ani o UE komunikat premierowy nie wspomina. Czyli wprost: oficjalnej informacji o dostępności Muse w Polsce nie ma.

Wątek jest mimo wszystko aktualny. Ten sam model udostępniania przez link ma każdy większy asystent i można go zubokować dokładnie tak samo, wystarczy pomysł typu „tytuł w hostname”. A do uruchomienia lokalnego, bez chmury Mety, można wziąć otwarte wagi Muse Spark.

Praktyczna rada z tego wypadku jest jedna i działa we wszystkich narzędziach: zanim wciśniesz Share, zadaj pytanie, czy ta rozmowa ma być czytelna dla każdego, kto ją znajdzie. Jeśli nie, jednego kliknięcia nie cofniesz, bo linki żyją własnym życiem: trafiają na fora, do baz skanerów i do pasywnego DNS, a pauza producenta czyści strony, nie indeksy.

Najczęstsze pytania

Czym jest Meta Muse?

Agent AI od Mety, nie czatbot: dostaje cel, sam planuje kroki, używa przeglądarki, wypełnia formularze, wysyła maile i robi zakupy, a działa na własnej maszynie wirtualnej w chmurze Mety. Zadebiutował 8 września 2026 w USA.

Czy Muse jest dostępny w Polsce?

Nie ma oficjalnej informacji o polskiej ani unijnej premierze. Pomoc Mety wskazuje, że aplikacja i strona nie są jeszcze dostępne wszędzie.

Źródła

Powiązane artykuły