AI 助手的分享按钮,为什么能把私密对话变成公开网页?

安全公司 Claroc 用一个被动 DNS 查询列出 6,800 个 Meta Muse 分享链接，因为对话标题进了网址。Meta 已暂停分享功能。铠盒AIBOX 的判断是：会话、文件、记忆和密钥该留在你自己的设备上。

点一下分享，私密对话就成了公开网页：6,800 个链接泄露调查

摘要： 10 月 18 日，安全公司 Claroc 公布：一个被动 DNS 查询就列出 6,800 个 Meta Muse 的分享链接，因为 Muse 把对话标题写进了网址。打开几百个，看到 CEO 的营收复盘、小企业主的贷款申请、全年的休假日历。没人入侵，工具本来就这样工作。Meta 10 月 20 日暂停了分享功能。铠盒AIBOX 的判断是，会话、文件、记忆和密钥该留在你自己的设备上。

一个查询，六千八百个链接

Muse 分享对话，是把它发布成网页，返回一个链接：

loan-application-draft-a4c9e2.cf.metaaiusercontent.com

前半段是对话标题，后半段是随机码。随机码不弱，问题在标题进了子域名，而子域名会写进公共 DNS 记录，被动 DNS 服务专门收集、索引、检索。链接就成了按标题排好的目录。

Claroc 只查一次：6,800 个。

被打开的那几页

研究员打开样本，不用登录，不用申请权限。不平淡的几页被 Ars Technica 列了出来：某候选人准备前沿 AI 实验室机密电话的笔记，含联系人与时间；一家公司的营收复盘，标注给 CEO；一位小企业主的贷款申请，含金额；全年的休假日历。

休假日历看着无害，实际是「谁什么时候不在」的时间表，社交工程最爱这种材料。

Claroc 10 月 8 日报给 Meta 漏洞奖励计划，10 月 18 日公开，没登录、没绕过控制。

分享为什么变成了发布

Muse 的帮助页写着：拿到链接的人就能看到对话，链接不会过期。

这不是漏洞，是分享的定义。要让人打开，页面就得公开。分享在产品语义里是「私下发给一个人」，技术上却是「发布到公网」。这个落差就是事件的空间。

Meta 处理后，Claroc 之前打开的链接已打不开。系统能收回，只是没被指出前默认不收。

权限只有两档

托管式助手的分享，你能控制的只有有没有那个地址。企业要的恰好是中间那档。

同一周，另一条路

10 月 15 日，Meta 和 Apple 联合宣布 Muse Spark Open：8160 亿参数开放权重模型，能在两台 Apple M5 Ultra Mac Studio 上用 MLX 本地跑。

五天之后，那个把对话变成公开页面的分享按钮被暂停。

权重能下载，说明模型能跑在你自己的机器上；会话、记忆、文件、凭据仍在云端虚拟机里，边界仍由平台画。

铠盒AIBOX 把这条边界放回设备

铠盒AIBOX 是一台专用的智能体计算机，跑在你自己的局域网里。会话、文件、记忆、密钥都在设备上，中间没有会用公网域名对外提供页面的服务。

• 分享
  ：没有指向公网域名的链接，内容给同事走你网络边界内的方式。
• 权限
  ：Agent 默认不持有密钥访问权，需要时向铠盒密码箱申请，你看到谁在申请、要哪个、为什么，同意才放行。
• 边界
  ：按 Agent、任务、接口、次数、有效期五维叠加，跑完失效。
• 追踪
  ：调用留痕，权限随时撤销。

今天就能做的三件事

一，翻一遍分享出去的对话链接，带敏感内容的去撤销。

二，把「能不能分享」写进团队的 AI 规则。

三，想清楚哪些内容不该离开设备。

分享是人的动作，暴露是系统的默认值。默认值不该让用户猜，该由你设。

想要进一步了解 搜索 ：铠盒AIBOX 欢迎联系邮箱：kevinlu@agentaibox.com #铠盒AIBOX#私人AI助手 #AI助手 #个人AI助手 #AIBOX #Workbuddy #codex