Meta pauzeert deelfunctie van AI-agent Muse

Muse-deellinks van Meta bleken met één passieve-DNS-zoekactie vindbaar: Claroc telde ruim 6.800 deeladressen; na vragen van Ars Technica pauzeerde Meta de deelfunctie.

Een gebruiker vroeg Muse om een gesprek te delen, maar de link kon daarna ook buiten de beoogde ontvangers worden gevonden. Dat raakt teams die AI-tools op persoonlijke accounts gebruiken: een omzetreview, leningaanvraag of personeelskalender kan in zo’n deelpagina belanden. Meta rolde Muse bij de lancering eerst in de VS uit, dus dit onderzoek bewijst geen getroffen Nederlandse organisatie. Hetzelfde risico geldt voor Nederlandse teams die andere AI-tools met openbare deellinks voor werk gebruiken: gegevens uit een persoonlijk account kunnen buiten de afgesproken kring komen.

Ruim 6.800 hostnamen, een kleine steekproef

Claroc zocht op 7 en 8 oktober in één commerciële passieve-DNS-dataset naar hostnamen onder cf.metaaiusercontent.com. Na het wegfilteren van automatisch beantwoorde adressen die geen echte Muse-deelpagina waren, bleven ruim 6.800 hostnamen over. Claroc opende er slechts enkele honderden. Het gaat dus om vindbare adressen, niet om 6.800 gelezen chats of bevestigde slachtoffers.

In de geopende pagina’s stonden onder meer een interne omzetreview voor de CEO van een marketingbedrijf, een aanvraag voor een bedrijfslening en een bankfraudemelding met een gedeeltelijk rekeningnummer, bedrag en tijdstip. Andere voorbeelden waren een vastgoedrapport met adressen en hypotheekcijfers, een vakantiekalender met tientallen medewerkers en voorbereiding van een vertrouwelijk gesprek met een toonaangevend AI-lab. Die notitie noemde een interne contactpersoon en het exacte afspraaktijdstip.

Claroc zegt geen bewijs van misbruik te hebben gevonden en de betrokken mensen of bedrijven niet te hebben benaderd. Het team onderzocht één gegevensbron, één adrespatroon en slechts een steekproef van de gevonden pagina’s. Het onderzoek stelt daarom niet vast hoeveel gebruikers of bedrijven geraakt konden zijn, hoelang de pagina’s openstonden of andere mensen de pagina’s eerder hebben geopend. Het beschrijft wat Claroc zelf vond, niet wat Meta’s eigen logboeken laten zien.

De gesprekstitel werd een zoekterm

Muse maakte van een gesprek op verzoek van de gebruiker een webpagina die iedereen met de link kon openen, zonder aanmelding. Dat was de bedoelde werking van de deelfunctie: een gebruiker kon de pagina naar een collega sturen. De kwetsbaarheid zat in de vindbaarheid van die link buiten de gekozen ontvanger.

De hostnaam zette de gesprekstitel vóór een willekeurige code. Die code was moeilijk te raden, maar na het openen door een ontvanger stond de hostnaam al in DNS. Commerciële passieve-DNS-diensten bewaren zulke waarnemingen en leveren adressen terug in een zoekactie. De titel kon al verklappen of een pagina over omzet, een lening of personeel ging.

De onderzoekers kraakten geen account en haalden geen onverdeelde chats uit Muse. Ze vonden pagina’s die gebruikers zelf hadden laten delen, maar buiten de bedoelde kring konden worden opgespoord. Het onderzoek toont dus vindbare deellinks, geen toegang tot chats die nooit als pagina waren gepubliceerd.

Veertig eerder geopende links laden niet meer

Meta beschreef Muse bij de lancering als een persoonlijke agent in een eigen Secure VM met een aparte Sentinel-laag die internetacties controleert. Ook de eerste Muse-uitrol op 8 september begon in de Verenigde Staten. Die beveiligingsbeschrijving gaat over de agent, de gegevens in zijn VM en de acties die hij naar buiten mag uitvoeren. Een pagina die op verzoek van de gebruiker openbaar wordt gedeeld, valt aan de andere kant van die grens.

De vondst bewijst dus niet dat Muse zelf privébestanden publiceerde, dat een VM-grens werd doorbroken of dat iemand een account kraakte. Het gaat om vindbaarheid van pagina’s die gebruikers lieten delen.

Claroc meldde de vondst op 8 oktober via Meta’s bug-bountyprogramma. Op 20 oktober, nadat Ars Technica vragen stelde, zei Meta de functie te pauzeren terwijl het de melding beoordeelt en veranderingen aan de vindbaarheid overweegt. Claroc controleerde die dag veertig eerder geopende deelpagina’s opnieuw; geen ervan laadde nog. De hostnamen bleven wel in passieve-DNS-geschiedenis staan. Engadget bevestigde dat de deelfunctie na Meta’s update niet meer werkte.

Meta’s reactie noemde geen herstartdatum, technische aanpassing of bericht aan gebruikers; ook het totaal aantal betrokkenen bleef onbekend. De hertest sloot de onderzochte pagina’s af, maar laat open wie ze eerder heeft bekeken.

Claude toont een andere zoekroute

Dit soort risico’s is niet uniek voor Muse. In juli meldden gebruikers dat Claude-chats en artifacts via Google te vinden waren; Axios vond op 27 juli zelf nog openbare artifacts, maar geen losse chats. Een woordvoerder van Anthropic zei dat pagina’s pas door zoekmachines gevonden konden worden nadat iemand ze op een andere openbare plek had gedeeld. De helpdocumentatie van het bedrijf zegt dat iedereen met een gedeelde link de gesprekskopie kan openen; Team- en Enterprise-gebruikers kunnen chatlinks alleen met leden van hun organisatie delen.

De techniek verschilde: Google-indexering bij Claude, passieve DNS bij Muse. Bij Claude kwamen juridische strategie en interne informatie in gedeelde chats via Google naar boven. In beide gevallen was de link bedoeld voor een beperkte groep, terwijl de techniek een groter publiek toeliet.

Bij Muse lijken de veertig opnieuw gecontroleerde pagina’s na de pauze niet meer toegankelijk, maar de hostnamen zijn niet uit de passieve-DNS-geschiedenis verdwenen. Meta heeft nog niet gezegd of de functie terugkomt of hoe links dan worden opgebouwd. Voor teams die AI-agents toegang geven tot bedrijfsgegevens blijft daardoor ook de ontvangergroep van elke deellink onderdeel van de gegevensgrens.