Meta（Meta）推出的人工智能助手Meta缪斯（Meta Muse）在用户分享对话时会暴露个人和商业机密。研究人员发现，当用户通过分享功能把与Meta缪斯的聊天记录发给他人时，生成的链接不仅包含当前对话，还会泄露企业数据、个人身份信息以及其他敏感内容。
正文
Meta 新推出的通用 AI 代理 Muse 会在用户通过网页链接分享对话时暴露敏感信息，研究人员于周一报告了这一情况。在回应 Ars 就该行为提出的问题时，Meta 表示正在暂停该分享功能，同时审查并考虑做出调整。
和许多在线服务一样，Muse 原本允许用户把搜索、对话、图片及类似内容分享给他人。这类分享功能通常会生成一个唯一网址，任何拿到链接的人都能打开承载内容的页面。为避免敏感信息被无关人员看到，这类网址一般会包含一长串难以猜测的字符。
只需一次查询
Meta CEO Mark Zuckerberg 上月曾称 Muse “从零开始为隐私和安全而打造”，它似乎也采取了同样的预防措施。但构造网址时的一个核心设计决定，却让这些链接很容易被找到。安全公司 Claroc 的研究人员表示，他们因此得以枚举出 6800 条 Muse 用户为分享对话而创建的链接。在打开其中几百条后，研究人员发现了一些显然不打算公开的信息，包括：
- 一名候选人为与某前沿 AI 实验室进行机密高管寻聘通话所做的准备笔记，其中提到了该实验室的内部联系人以及会议时间
- 一家全国性营销公司的内部营收审查，标注供其 CEO 查阅
- 一名小企业主的贷款申请，包含申请金额
- 一份待办事项清单，其中包括一条银行欺诈警报，含部分账号、交易金额和交易时间
- 一名房地产投资者的内部业绩报告，含两处房产地址以及确切的回报、收入和抵押贷款数据
- 某公司全年的员工休假日历，列出了数十名员工以及各自休假的具体周次
“如果你事先问我们，我们本以为收集这些信息要费不少功夫，”研究人员写道，“结果只花了一次查询。”
Meta 在回应 Ars 提问的邮件声明中表示：“我们开设了 Muse 漏洞赏金计划，以便研究人员提出各种情景，帮助我们持续改进产品。用户原本可以分享特定的 Muse 内容，这会生成一个页面，只有拿到链接的人才能访问。不过，在审查这份报告并考虑调整这些链接的发现方式期间，我们已暂停该功能。”
Claroc 联合创始人兼首席技术官 Asaf Aprozper 表示，他已于 10 月 8 日通过 Meta 的漏洞赏金计划报告了这些发现，也曾尝试在 LinkedIn 上联系 Meta 员工，但两种方式都没得到回复。
发现这些网址最简单的方法，是通过多种商用服务之一进行被动 DNS 搜索。被动 DNS 记录保存域名到 IP 地址的历史解析结果，以及名称服务器和邮件服务器记录；其数据通常由部署在递归 DNS 解析器或其他基础设施上的传感器收集，每当监控系统观察到一次 DNS 响应，就会生成一条记录。在这里，只要预期接收者点击了分享链接，相关 DNS 信息就会被录入一个可搜索的数据库。
Claroc 的研究人员之所以能发现 Muse 的分享链接，是因为这些链接全都使用域名 cf.metaaiusercontent.com。而把对话名称加入网址、再附上一长串字符的决定，让发现过程更加容易。简化后的链接示例包括 home-sale-budget-9f21c8a3.cf.metaaiusercontent.com、q3-revenue-review-7b1e42f0.cf.metaaiusercontent.com 和 loan-application-draft-a4c9e2.cf.metaaiusercontent.com。正是最后这个设计决定——把对话标题放在子域名里，而不是放在网址路径中——使得公开发现成为可能。
“很多 AI 助手都通过公开链接分享，”Claroc 表示，“Muse 的分享之所以容易被找到，是因为标题就嵌在网址里，而公共 DNS 会把它记录下来，供任何人搜索。我们把这类页面称为 GhostShares：它们会向从未拿到链接的人开放，而且这些人自己就能找到。”
Muse 很快冲上 Apple App Store 的领先位置。这个助手能自动填表、预约、购物、创建文档，以及执行各种其他操作。要按设计正常工作，Muse 需要访问用户的大部分账户。Meta 一直大力宣传该助手，称其平台值得用户托付它正常工作所需的极高信任。
Muse 发布三周后，macOS 安全专家 Patrick Wardle 发现了一个零日漏洞：同一设备上安装的任何其他应用都能借此完全控制用户的 Muse 账户。Meta 以“设备未遭入侵就无法利用”为由淡化了漏洞严重性，且未承认 Wardle 的发现——只需一次简单的 ClickFix 攻击就能劫持账户。分享链接如此容易被发现，进一步让人有理由质疑：Muse 是否配得上它所需要的访问权限。
随着 Meta 暂停该功能，Muse 用户至少暂时不再面临这一特定威胁。
评论
讨论几乎一边倒地嘲讽 Meta 的隐私承诺，认为其对用户数据的漠视完全符合过往形象；真正的分歧和技术疑问在于：被遍历的究竟只是用户主动生成的分享链接，还是所有对话默认公开，以及把秘密放在子域名里是否本身就是可避免的设计错误。
认为 Meta 根本不值得信任，所谓隐私优先只是讽刺
- 评论者以反讽语气指出，Meta 会不小心对待用户数据和隐私根本“完全不可信”；结合其长期隐私丑闻，一个声称“从头构建时就为隐私和安全而生”的 Muse 并不可信。研究者通过漏洞奖励计划和 LinkedIn 报告后未获 Meta 任何回应，进一步坐实了这种不负责。让一家几十年持续侵害用户的公司突然要求信任并不现实，这种不信任也延伸到整个 FAANG。还有人嘲讽说，面对这种泄露，文章只敢问 Muse 是否配得上所需权限，力度远远不够。（认可度：高赞）
- > 你是说 Meta 这家公司竟然会不小心处理用户数据和隐私？这完全没法相信。（@ryandrake）
认为用户自愿使用就该自担风险，竟还有人热衷用这些产品
- 有评论认为，都到这个时候还自愿使用任何 Facebook/Meta 产品，就应该清楚自己会付出怎样的隐私代价；评论者对人们依然热衷使用这类服务感到不解，并暗讽市面上并非没有更尊重隐私、强调数据主权的替代选择。（认可度：较多人）
- > 都这时候还自愿用 Facebook 产品的人，早该知道自己签的是什么样的卖身契。（@Razengan）
认为问题出在子域名设计，改用随机唯一 URL 就能避免
- 少数评论指出，子域名会被被动 DNS 记录查到，把本不该被猜到的东西放进子域名是个坏主意；如果直接生成唯一的随机 URL，就能消除被反向 DNS 轻松遍历的可能。也就是说，这不是必然风险，而是可避免的设计失误。（认可度：少数人）
- > 子域名会被被动 DNS 记录查到，把不该被猜到的东西放进子域名是个坏主意。（@omoikane）
追问被枚举的是主动分享链接，还是所有对话默认公开
- 有追问认为，需要厘清用户是否本就打算把这些对话分享给别人、Meta 只是把可猜测的分享链接当秘密；还是所有 Muse 用户的对话默认就是公开的，只是藏在晦涩网址后面。这个区别决定了事件的严重程度。（认可度：少数人）
- > 用户是真打算分享这些对话，还是所有对话默认公开、只是藏在晦涩网址后面？（@JumpCrisscross）
有价值的补充
- 有评论把 Meta 的 Muse 比作一本会公开你写的一切、却还要你“相信我”的日记；并类比说，正如 Amazon 把店面变得 Temu 化之后，就别指望用户还愿意闭着眼用 Echo 下单。（来自 @viccis 的精巧类比）