ARTICLE · 1245915
Meta的AI助手出事了:6800个分享对话被公开检索
你以为只是把一段 AI 对话分享给同事，结果对话标题被写进了公开可查的 DNS 数据库，任何人都可以通过查询批量找到它。
这不是假设。网络安全研究团队 Claroc 在 10 月 18 日发布的报告中披露，Meta 旗下个人 AI 助手 Muse 的“分享对话”功能存在这个漏洞。研究人员通过一次被动 DNS 查询，就发现了超过 6800 个 Muse 分享页面的主机名。抽查的数百个页面里，有企业营收审查文件、小企业贷款申请、银行欺诈警报、房地产投资数据，甚至还有一名候选人为与某前沿 AI 实验室负责人进行机密通话准备的材料，里面包含内部联系人和会议时间。
Meta 在 10 月 8 日通过漏洞赏金计划收到报告后暂停了这一功能。10 月 20 日，Claroc 复查了此前无需登录即可打开的 40 个页面，发现已全部无法访问。但问题在于：已经进入被动 DNS 历史记录的域名和对话标题仍然存在，暂停功能并不能抹掉这些痕迹。
对话标题怎么进了公开 DNS 数据库
Muse 的分享机制有一个设计缺陷：它会根据用户分享的对话标题生成网页地址，并部署在 cf.metaaiusercontent.com 域名下。也就是说，标题直接变成了子域名的一部分。
当用户或接收者访问这个分享页面时，浏览器需要解析这个域名，解析请求就可能被被动 DNS 服务记录下来。被动 DNS 是一种收集和存储历史 DNS 解析数据的技术，安全研究人员、威胁情报公司常用它来追踪恶意域名。但它也意味着：只要某个域名被查询过，就可能进入这些公开或可订阅的数据库。
Claroc 正是利用了这一点。他们不需要猜测随机生成的链接，也不需要破解什么加密算法，只需要查询被动 DNS 数据库里符合特定模式的域名，就能批量发现这些分享页面。这和常见的“未授权访问”不同——问题不在于链接被猜中，而在于链接本身被写进了公开可检索的历史记录。
6800 个页面里有什么
Claroc 抽查了数百个页面，发现的内容类型包括：
- 企业营收审查文件
- 小企业贷款申请材料
- 银行欺诈警报
- 房地产投资数据
- 员工年度休假安排
- 为与前沿 AI 实验室负责人机密通话准备的材料（含内部联系人和会议时间）
这些页面在 Claroc 发现问题时无需登录 Meta 账号即可访问，只要有链接就能打开。
需要注意的是，Claroc 明确表示，此次调查仅覆盖特定域名模式和一种发现渠道，不能据此推断 Muse 全部分享内容的暴露规模。6800 只是他们通过这一种方式发现的数量，实际暴露的页面可能更多，也可能更少——无法确认。
Meta 的处置时间线和效果
Claroc 在 10 月 8 日通过 Meta 的漏洞赏金计划提交了问题。Meta 发言人的回应是：用户可以分享特定的 Muse 内容并生成可通过链接访问的页面，公司已暂停这一功能，以审查研究报告并考虑如何调整链接的可发现性。
10 月 18 日，Claroc 发布公开报告。10 月 20 日，研究团队复查了此前能够在未登录状态下打开的 40 个分享页面，发现这些页面均已无法访问，相关主机名返回错误。
这说明 Meta 的处置是有效的——至少新访问被切断了。但 IT之家在报道中指出，已经进入被动 DNS 历史记录的域名及其对话标题仍然存在。暂停分享功能并不能彻底抹除此前留下的历史记录。
换句话说：如果你的对话标题曾经通过 Muse 分享并被访问过，那么这个标题现在可能仍然躺在某个被动 DNS 数据库里，任何人都可以查到。标题本身可能不包含完整对话内容，但它足以暴露你在讨论什么——比如“Q3 营收审查”“贷款申请材料”“与某某的机密会议准备”。
没有证据表明被恶意利用，但这不能让人放心
Claroc 在报告中强调，没有证据表明这些页面已被恶意利用，也无法确定其他人是否曾在研究团队发现之前访问过相关内容。
这是事实边界，需要明确。但这不等于风险不存在。被动 DNS 数据库是公开或可订阅的，安全研究人员、威胁情报公司、甚至攻击者都可能访问。Claroc 没有发现恶意利用的证据，不代表没有发生过，只代表他们没有追踪到。
用过 Muse 分享功能的人该做什么
如果你或你的团队用过 Muse 的分享功能，现在可以做几件事：
- 回忆并列出可能分享过的对话主题。 尤其是涉及财务数据、企业文件、客户信息、未公开的会议安排等敏感内容的对话。
- 检查是否还能访问这些链接。 如果已经打不开，说明 Meta 的处置生效了，但这不代表标题痕迹已消失。
- 评估标题本身泄露了多少信息。 如果标题包含具体项目名称、人名、时间、金额等，需要考虑是否需要通知相关方。
- 今后在使用 Muse 或类似功能时，注意分享链接的可发现性。 这次事件暴露的问题是：分享功能在设计时是否考虑了链接可能被公开检索。在确认相关机制已改进之前，涉及敏感内容的对话需要谨慎使用分享功能。
对于企业管理者，这次事件是一个明确信号：需要为 AI 工具的使用立下规矩。哪些内容可以输入 AI、是否允许使用分享功能、分享前需要谁审批——这些都应该写进内部制度，而不是依赖员工自觉。
参考来源
- 研究人员通过 DNS 数据库发现数千个公开的 Muse 聊天记录分享链接，Meta 已修复 - IT之家
