Meta Muse 分享对话可被陌生人找到：标题写进 URL、一次 DNS 查询全暴露-低调大师

Meta Muse 分享对话可被陌生人找到：标题写进 URL、一次 DNS 查询全暴露

2026-10-21 2

Meta 的 AI 助手 Muse 刚上线就撞上隐私问题：用户分享的对话，能被陌生人轻易找到。Meta 已经暂停了分享功能，理由正是安全公司 Claroc 的报告——他们枚举出了 6,800 个 Muse 用户创建的分享链接，打开其中几百个就看到了个人和商业机密。

问题出在一个看似细节的设计决策上。Muse 的分享链接域名是 cf.metaaiusercontent.com，而对话的标题被直接放进了 URL——安全公司给出的简化示例：home-sale-budget-9f21c8a3.cf.metaaiusercontent.com（家庭售房预算）、q3-revenue-review-7b1e42f0.cf.metaaiusercontent.com（Q3 营收回顾）、loan-application-draft-a4c9e2...（贷款申请草稿）。每个 URL 后面本来有一长串随机文本防猜测，但标题出现在域名里，等于把内容主题直接挂在了公共 DNS 记录上——任何人都能用被动 DNS 搜索找到这些链接。

Claroc 的发现过程最扎眼。研究者说：「如果你事先问我们，我们会以为收集这些链接需要真正下功夫。它只花了一个查询。」他们把这叫「GhostShares」——页面打开了从未被给过链接的人，而那些人是自己找到的。

这个漏洞对 Muse 的打击尤其重。Muse 是 Meta 最近力推的 AI 助手，扎克伯格上个月说它是「从底层为隐私和安全构建的」，它能自动填表、订约会、购物、建文档——为了工作它需要访问用户大部分账户。Meta 把它宣传成「配得上它所需的非凡信任」的平台。

结果上线三周，先是 macOS 安全专家 Patrick Wardle 发现一个零日漏洞（同设备任何其他应用都能完全控制用户的 Muse 账户），现在又是分享链接可枚举。Claroc 10 月 8 日通过 Meta 的 bug bounty 项目报告，Meta 已暂停分享功能：「人们有能力分享特定的 Muse 产物，这会创建一个可通过链接访问的页面。我们暂停了这个功能，同时审查这份报告并考虑如何改变这些链接被发现的方式。」

Ars Technica 评论区有条评论很毒：「他们有 20 分钟讲怎么把安全构建进去。我帮你省 20 分钟：他们没有。」

这件事的教训不只是 Meta 的。Claroc 点出一个普遍问题：「很多 AI 助手都通过公开链接分享。Muse 的分享容易找到，特殊之处在于标题坐在网址里，公共 DNS 记录它，任何人都能搜到。」对任何做「分享链接」的 AI 产品，把内容标题或主题放进 URL，等于在门口挂了个写着屋里有什么的牌子——随机 token 再长，也挡不住标题本身的语义泄露。

参考来源：

微信关注我们

原文链接：https://www.oschina.net/news/503140/meta-muse-exposes-users-personal-when-they-share-conversations

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

CSS 的下一步：@function 和 corner-shape，浏览器厂商正联手推进

CSS 正在经历一年里最大的一次进化。Josh W. Comeau 写了篇长文，前瞻 2027 年 CSS 最值得期待的 10 个特性——背景是浏览器厂商的 Interop 协作项目：Google、Apple、Microsoft、Mozilla 联合 Igalia 和 Bocoup，每年挑一批特性集中推进跨浏览器支持。 Interop 项目的成功有先例。CSS Subgrid 2019 年就在 Firefox 里实现了，但其他浏览器好几年没跟进；被列入 Interop...

2026-10-21

1

10 月 30 日，以“从开源创新到全球增长”为主题的 2026 上海开源软件应用创新大赛颁奖典礼暨创新增长大会，将落地上海张江人工智能创新小镇。 2026上海开源软件应用创新大赛由开源中国主办，以“开源向实（Open Source, Real Impact）”为主题，面向全国征集优秀开源项目。自大赛启动报名以来，累计已收到报名项目 700 余个，参赛团队覆盖全国科技企业、科研机构以及各大高校，已有 40 余家合作企业与开源社区...

2026-10-21

2

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。