AI 助手接进公司系统以后,最该管的是＂分享＂这个按钮

公司给 AI 助手定规矩，管的多半是"它能替你做什么"：能不能发邮件，能不能下单，花钱前要不要人点头。Meta 的 Muse 这次出事，出在另一头——你把它做出来的东西，给了谁看。

Muse 是 Meta 9 月 8 日在美国上线的个人 AI 助手，扎克伯格说它"从底层为隐私和安全而生"。三周后，Meta 把它接进了美国和加拿大小商家的广告账户和 15 种业务工具。

10 月 18 日，安全公司 Claroc 公布了一项研究。Muse 分享对话时，会把对话标题写进链接的子域名，长这样：home-sale-budget-9f21c8a3.cf.metaaiusercontent.com。链接第一次被人打开，浏览器要先做 DNS 解析，商业被动 DNS 服务会把整个主机名记下来，还开放检索。

Claroc 只查了一次，拿到 6800 多个分享主机名。打开其中几百个，不用登录都能看。大部分是小商家网站、活动日历；少数是贷款申请、给 CEO 看的营收评审、几十名员工的全年休假表，还有一份和某前沿 AI 实验室负责人通机密电话前的准备材料。

Claroc 10 月 8 日就把问题报给了 Meta 的漏洞赏金计划。10 月 20 日 Meta 暂停了分享功能。页面打不开了，带标题的主机名还留在 DNS 历史记录里。

最强的反驳是：这只是 Meta 一家的工程失误。ChatGPT 和 Claude 的分享链接把 ID 放在斜杠后面的路径里，不会这样暴露。

这话对一半。去年 ChatGPT 的分享对话被 Google 收录，OpenAI 撤掉了"可被搜索"的选项；几周后，超过 37 万条 Grok 对话也出现在搜索结果里。三家产品，三种机制，漏的是同一个出口。

Muse 自己其实挡过一道：它用 robots.txt 拦住了搜索引擎和 AI 爬虫。可 Claroc 的发现从头到尾没碰过搜索引擎。链接里那串随机 ID 也足够长，没人猜得出来。Claroc 的原话是："ID 只有在保密的时候才是秘密，而主机名不是秘密。"

Meta 给 Muse 设计过审批：发邮件、付款前要用户确认。这些审批管的都是 AI 去做事，管不到对话被分享以后去了哪里。Claroc 说得更直接：每一次分享都是员工发起的，产品只是照着文档执行。所以去审一个 AI 应用的设置页，是审不出这种问题的。

能被审批拦住的是 AI 的动作，拦不住的是人的转发。

下次有同事在群里甩来一个 AI 对话链接，点开之前，先看看链接本身写了什么。