Notatki kandydata przed poufną rozmową rekrutacyjną z laboratorium AI, z nazwiskiem wewnętrznego kontaktu i godziną spotkania. Wniosek kredytowy właściciela małej firmy, z kwotą. Wewnętrzny raport inwestora nieruchomości, z dwoma adresami i dokładnymi danymi o zwrocie i hipotece. Wszystko to leżało w sieci i czekało na każdego, kto wie, gdzie szukać. Jak podaje Ars Technica, szukanie okazało się banalne.
Link, który nie powinien się znaleźć
Muse to nowy, uniwersalny agent AI od Meta. Użytkownicy mogli udostępniać w nim rozmowy, obrazy i wyniki wyszukiwań. Mechanizm jest znany z wielu usług: klikasz opcję, powstaje unikalny adres URL, a każdy, kto go dostanie, otworzy stronę z treścią. Żeby nikt nieproszony nie trafił na taki adres, zwykle zawiera on długi, trudny do odgadnięcia ciąg znaków.
Muse na pozór robił to samo. Mark Zuckerberg mówił w zeszłym miesiącu, że asystent został „zbudowany od podstaw z myślą o prywatności i bezpieczeństwie”. Problem tkwił jednak w decyzji projektowej: tytuł rozmowy trafiał do adresu, i to nie do ścieżki, lecz do subdomeny. Wszystkie linki mają wspólną domenę cf.metaaiusercontent.com, a przed nią stoi nazwa rozmowy i losowy ciąg. Coś w rodzaju q3-revenue-review-7b1e42f0.
Różnica wydaje się kosmetyczna, ale ma konsekwencje. Subdomeny zostawiają ślad w publicznych rekordach DNS. Wystarczy zajrzeć do jednej z komercyjnych usług tzw. pasywnego DNS, które gromadzą historię tego, jak nazwy domen zamieniano na adresy IP. Gdy ktoś kliknie w link do udostępnionej rozmowy, informacja ląduje w przeszukiwalnej bazie.
Jedno zapytanie
Badacze z firmy Claroc wyliczyli w ten sposób 6800 linków. Otworzyli kilkaset i znaleźli m.in. wewnętrzny przegląd przychodów krajowej firmy marketingowej, oznaczony dla jej prezesa, listę zadań z alertem o oszustwie bankowym (z częściowym numerem konta, kwotą i godziną transakcji) oraz roczny kalendarz urlopów w jednym z miejsc pracy, w którym przy kilkudziesięciu pracownikach wpisano tygodnie nieobecności.
„Gdybyście zapytali nas wcześniej, zgadywalibyśmy, że zebranie tego będzie wymagało prawdziwego wysiłku” - napisali badacze. „Wystarczyło jedno zapytanie”. Zjawisko nazwali GhostShares: strony, które otwierają się osobom, którym nikt linku nie dał, a które mogą je znaleźć same. Podkreślają też, że wiele asystentów AI udostępnia treści przez publiczny link. Muse wyróżnia to, że tytuł siedzi w samym adresie, gdzie publiczny DNS go zapisuje.
Asaf Aprozper, współzałożyciel i dyrektor techniczny Claroc, zgłosił sprawę 8 października przez program bug bounty Mety. Próbował też kontaktu przez LinkedIn. Jak mówi, nie dostał odpowiedzi żadną drogą.
Po pytaniach Ars Technica Meta oświadczyła, że wstrzymała tę funkcję na czas analizy raportu i rozważa zmiany w tym, jak linki mogą być odnajdywane. Firma przypomniała, że program bug bounty uruchomiła po to, by badacze zgłaszali różne scenariusze.
Zaufanie na kredyt
Stawka jest wyższa niż w zwykłym komunikatorze. Muse szybko wskoczył w czołówkę App Store'a Apple'a. Agent samodzielnie wypełnia formularze, umawia wizyty, robi zakupy i tworzy dokumenty, a żeby działać, potrzebuje dostępu do większości kont użytkownika. Meta reklamowała go jako platformę, która na tak daleko idące zaufanie zasługuje.
To nie pierwszy zgrzyt. Trzy tygodnie po premierze ekspert od bezpieczeństwa macOS Patrick Wardle wykrył lukę zero-day, która pozwalała dowolnej aplikacji na tym samym urządzeniu przejąć pełną kontrolę nad kontem w Muse. Meta uznała, że groźba jest niewielka, bo atak wymaga wcześniej zainfekowanego urządzenia. Według Ars Technica firma nie odniosła się do ustaleń Wardle'a, że do przejęcia konta wystarczy prosty atak typu ClickFix.
Na razie użytkownicy nie są narażeni na tę konkretną wpadkę. Pytanie, czy agent, który prosi o klucze do całego cyfrowego życia, powinien je dostawać, pozostaje otwarte. Zwłaszcza że o jego tajemnice wystarczyło zapytać raz.
Wpis z pasa „W ruchu”, 23 października 2026. Na zdjęciu: Wejście do kompleksu siedziby Meta Platforms w Menlo Park w Kalifornii.
