6800个“幽灵分享”：没有黑客，没有破解，秘密死在链接第一次被点开的那一秒

你让AI助手把一段对话分享给同事，它生成一条链接，告诉你“只有拿到链接的人能看”。你以为这是把一个信封递给了指定的人。安全公司做了一次公开数据库查询，拉出6800多个这样的“信封”，而且每个信封外面都写着里面装了什么——贷款申请、营收评审、和某家AI实验室负责人的机密通话时间。没有任何人破解过任何东西。

事情发生在Meta九月八日上线的个人AI助手Muse身上。上线时扎克伯格给它的定位是“从底层为隐私和安全而生”：每个人的云端虚拟机互相隔离，对话不喂给广告系统，第三方账号密码锁在专门的凭证库里，模型自己都看不到。

这些承诺后来看都做到了。绊倒它的，是一个小到几乎没人会在设置页里多看一眼的地方——分享链接长什么样。

一次查询，拉出六千八百个门牌号

安全公司Claroc在十月十八日公开了这份报告，他们给这些页面起了个名字叫GhostShares，幽灵分享：页面向从没拿到过链接的人敞开，而那些人是自己找上门的。

原理不复杂，但反直觉。你让Muse分享对话，它会把对话发布成一个网页，地址由两部分拼成：这段对话的标题，加上一串很长的随机字符。随机串的设计目的就是让人猜不到，它也确实够长。

问题出在标题和随机串都被放进了子域名里，而不是网址的路径部分。安全报告里给的例子长这样：一份家庭售房预算，域名开头就是home-sale-budget；一份第三季度营收评审，开头就是q3-revenue-review；一份贷款申请草稿，开头就是loan-application-draft。后面才跟着那串随机ID。

接下来是致命的一步。任何人第一次打开这个链接——哪怕就是你合法发送的那位同事——浏览器都得先做一次域名解析，把这个名字翻译成IP地址。专门收集解析记录的被动DNS服务商，会把完整的主机名，连标题带随机ID，一起存下来，而且对外提供检索。

Claroc只在一个商业被动DNS数据库里查了一次Muse的内容域名，过滤掉扫描噪声，剩下六千八百多个分享主机名，按标题一条条排列，像一本摊开的目录。研究者原话是：“如果事先问我们，我们会以为收集这些链接得真下点功夫。结果只花了一个查询。”

被检索到的不是内容本身，而是一份按标题排好的“有什么内容”清单

随机ID没有被猜，没有被爆破，它是在正常使用中被公开的。分析机构给这篇报告起的标题更直接：不可猜的ID，死于第一次点击。

更麻烦的是标题是可读的。拿到这份主机名清单的人，根本不用逐个打开，扫一眼标题就知道哪几条值得看——“贷款申请草稿”“营收评审”“和某实验室的通话准备”。主机名列表自动变成了一个分诊队列。

被动DNS还不是唯一的泄露口。Claroc发现，公开的网址扫描平台urlscan.io上，已经存着七十五个以上Muse分享页的扫描记录，而那是一个任何人都能搜的普通搜索框。

同样一道防线，放对地方和放错地方

Meta并非毫无防备。Muse的robots.txt明确要求搜索引擎和AI爬虫不要抓取分享路径——2025年ChatGPT分享内容被谷歌索引时，OpenAI用的也是这一招。

但这道防线挡不住这次的问题。robots.txt管的是“要不要来爬”，管不了“谁能访问”；而Claroc的发现渠道压根没经过任何搜索引擎，走的是DNS基础设施。很多人把“链接很长、猜不到”等同于“这是私密的”，这个等式只在一个前提下成立：秘密待在一个会被加密、不会被记录的位置。

秘密不是被破解的，是“使用它”这个动作本身把它公布了出去

我看下来最直接的判断是：这不是Muse一家的失误。整个行业的“持链接可见”设计，都压在同一个假设上：路径不可猜，所以内容是私密的。把秘密从路径挪到主机名，等于亲手把它交给了一台天生负责记录和转发名字的全球基础设施。

门后到底放了什么

Claroc只打开了六百多个页面，其余没动。大部分内容确实平平无奇：小商家网站、商品清单、活动日历，主人多半本来就想让人看。

少数不是。研究者只按类别描述、隐去了全部姓名和链接，其中六类足以让人后背发凉：

我更在意的是第一个案例，它藏着最容易被滑过去的一层伤害。通话准备材料里的个人履历，可能本来就是公开信息拼的；但“谁正在和谁、在什么时间谈一件机密的事”，这个事实本身并不公开。它是用一堆公开碎片拼出来的私密关系，而分享页把它递给了任何会查域名数据库的人。

这是一种和“文件被偷走”不同的伤害，对一个诈骗者或冒充者来说，这种通讯录级别的信息是现成的社会工程弹药。智能体的输出往往是一段叙事，而不是一份孤立文档——它会自动把“谁、和谁、何时、谈什么”组织成通顺的一段话。越能干的助手，标题和正文的信息密度越高，泄露时的杀伤力越大。

不是第一次，只是泄露的渠道越来越偏

AI对话分享出事，Muse不是头一遭。把几次放在一起看，会发现暴露渠道一次比一次远离普通人的直觉。

渠道越来越偏，意味着靠“我不主动公开、搜索引擎别抓我”这种朴素认知已经守不住隐私了。真正决定泄露与否的，是一个任何产品设置页都不会告诉你的传输细节：你的标题落在网址的哪一段。

这一次，责任该怎么分

先把边界划清楚，这很重要：这件事没有CVE编号，也不会有。没有认证被绕过，没有漏洞被利用，没有访问频率限制被突破，Claroc也明确说没有证据表明这些页面被恶意利用，无法确认是否有人比他们更早访问过。6800是“被发现的主机名”数量，不是“敏感对话”数量，研究只覆盖了一种域名模式、一种发现渠道和一个月的窗口，不能据此推断总暴露规模。

但“不是攻击”不等于“没有责任”。我查了Meta帮助文档对分享链接的原文描述：持链接者能看到你的对话，链接不会过期，对方还可以继续转发。也就是说，平台把“公开”这件事用一句技术上准确、认知上严重不足的话交给了用户。普通用户能理解“链接别乱发”，却无法预见自己一点头，标题就进了全球DNS记录。这不是真正意义上的知情同意。

时间线也值得摆出来。Claroc在十月八日就通过Meta的漏洞赏金计划提交了完整复现步骤，还试过LinkedIn联系，两条路都没收到回应。直到十月二十日Ars Technica记者直接去问Meta，功能才被叫停。从报告到暂停用了十二天——单看速度不算慢，但启动这个动作的是媒体追问，不是赏金计划。好的一面是，Claroc复测此前能打开的四十个页面已全部失效，并且他们隐去了所有标识符，承诺等Meta确认拿到所需数据就删除自己的发现数据。这是负责任披露该有的样子。

尴尬的是补救的边界：页面打不开了，可那些带着标题的主机名，已经沉淀在第三方被动DNS的历史记录里，谁也收不回来。暂停功能抹得掉未来，抹不掉已经发生的解析。这也是为什么Muse上线三周内的另一件事值得一并记住：macOS安全专家Patrick Wardle曾发现一个零日漏洞，同一台设备上的其他应用可完全控制用户的Muse账户，Meta当时淡化了严重性。一个号称为隐私而生、又手握用户大部分账户权限的智能体，安全账不能只算模型本身。

如果你用它分享过对话，现在能做四件事

这次最现实的部分在这里，而且不只针对Muse用户——任何带“生成链接分享对话”功能的AI助手都适用。

第一步，先假设标题已经公开。凡是用分享功能发过的对话，不要继续当它是私密的。尤其检查标题本身：很多人习惯把对话命名成“某某贷款”“Q4裁员名单”“和某总的通话”，标题泄露的信息量常常超过正文。

第二步，清点你都分享过什么。翻一遍自己在各AI助手里生成过的分享链接，凡是涉及财务、客户、人事、未公开计划的，能删链接就删，能撤回访问就撤回。记住撤回只挡住后来的人，已经进了第三方数据库的标题撤不回，所以要同步评估内容本身需不需要补救（比如当成对方可能已知来处理）。

第三步，改习惯，不把秘密放进标题。今后给AI对话起名用中性、无信息量的词，需要发给同事的敏感材料，走有登录鉴权、有访问到期时间、能看访问日志的企业协作渠道，而不是一条“持链接可见、永不过期、可无限转发”的公开链接。

第四步，对陌生来电和邮件升一级警惕。一旦对话信息可能外泄，对方报得出你同事的名字、开会时间、项目代号，都不再能证明对方可信。核实身份走你自己手里存的官方联系方式，别用对方提供的号码回拨。

企业这一侧，问题更隐蔽

Claroc报告里最该被安全团队抄走的一句话是：每一次分享都是员工一次一个对话发起的，应用照章执行，而“这个链接为什么能被陌生人找到”，不出现在任何一个审批者会检查的分享设置里。审批是签字那一刻的快照，分享发生在签字之后。

消费级AI助手不需要IT部门部署，员工自己就能用，这意味着企业里可能早就在分享Muse、ChatGPT或Claude的链接，而安全团队一无所知。报告给了三条可落地的动作：先摸清自己人已经在用哪些AI助手；在使用规范里写明“让助手分享对话等于发布一个公开页面，某些产品还会把标题写进公开DNS”；如果技术上能监测SaaS和AI应用活动，就把“创建AI分享链接”当成一次数据外发来看待并告警，实在看不见，就在代理或DNS层把对应内容域名挡掉。

能看见“有什么离开了公司”，比事后读一篇泄露报告重要得多

门牌号上的秘密

这整件事没有黑客，没有内鬼，甚至没有一个技术意义上的漏洞。一个人点了一下“分享”，系统按设计把对话公开，另一个人在公共数据库里查了一次，门牌号自己排成了队。

我更愿意把它看成一个提醒：AI产品的隐私，早就不只是“模型会不会乱说、账号会不会被盗”这两件事。智能体被授予的权限越大、产出的内容越像一份完整叙事，那些藏在网址结构、DNS记录、爬虫协议里的老派基础设施，就越可能在模型之外的地方，把你的秘密登记在册。安全团队那句大白话值得贴在每个分享按钮旁边——在你亲自验证之前，假设你分享出去的任何东西都是公开的。

链接不会因为它足够长、足够难猜，就替你保守秘密。会替你泄密的，有时候恰恰是“用了它”这个动作本身。

数据与事实来源：Claroc安全研究团队《GhostShares》报告（2026年10月18日发布、10月20日更新，第一手研究）；Ars Technica（Dan Goodin，2026年10月20日，含Meta发言人Tracy Clayton回应）；Engadget、TechSpot、eSecurity Planet、IT之家、OSCHINA等公开报道。文中被动DNS机制、6800余个主机名、六类敏感内容、75个urlscan扫描、10月8日披露与10月20日暂停等细节均据Claroc原报告。Claroc明确表示：无证据显示页面被恶意利用，6800为发现的主机名数而非敏感内容数，研究不代表Muse全部暴露规模。本文为公开信息分析，不构成任何投资或法律建议。