MENLO PARK, CALIFORNIE / RankWire.AI / – Meta a suspendu le partage des liens de conversation au sein de son assistant IA Muse après que des experts en cybersécurité ont identifié que des milliers d'URL de discussions partagées pouvaient être localisées via des registres Internet accessibles au public. Ces liens présentaient un risque d'exposition de données personnelles et de renseignements confidentiels d'entreprises. Mardi le 20 octobre, Meta a informé Ars Technica de la désactivation temporaire de cette fonctionnalité pendant qu'elle enquête sur ce problème de sécurité. L'entreprise étudie aussi des solutions pour empêcher la découverte facile des liens partagés.
La société de sécurité Claroc a détecté plus de 6 800 liens Muse partagés via des enregistrements DNS passifs, qui suivent les requêtes de noms de domaine et permettent la recherche d'adresses web. Ce nombre représente le nombre d'adresses de liens découvertes et non le nombre de conversations sensibles. Claroc a publié ses conclusions le 18 octobre, précisant avoir initialement signalé le problème au programme de primes aux bogues de Meta le 8 octobre, en fournissant les étapes de reproduction et des exemples de partage.
Les chercheurs ont examiné plusieurs centaines de conversations, et la quasi-totalité d'entre elles contenaient des liens accessibles sans compte Meta. Certaines de ces discussions contenaient des informations sensibles, comme une vérification fiscale interne d'une agence de marketing et une demande de prêt pour petite entreprise. D'autres incluaient une alerte de fraude bancaire avec des chiffres de transactions et des renseignements partiels sur un compte. Parmi les autres contenus partagés figuraient des notes d'entrevue confidentielles pour un cabinet de recrutement et un calendrier de congés d'entreprise affichant de nombreux employés. Plusieurs autres conversations portaient sur des échanges plus courants.
La conception des liens de partage a rendu les conversations plus visibles.
La vulnérabilité provenait de la manière dont Muse générait ses URL de partage. Chaque lien combinait le titre de la conversation avec un identifiant aléatoire intégré au nom d'hôte de l'URL. Bien que cet identifiant soit suffisamment long pour empêcher toute devinette, l'ouverture d'un lien déclenchait une requête DNS susceptible d'être enregistrée par les services DNS passifs, rendant ainsi les URL consultables. Par conséquent, d'autres personnes pouvaient trouver les liens sans accès direct et consulter les conversations sans se connecter.
Bien que Muse ait demandé aux moteurs de recherche et aux robots d'exploration d'IA de ne pas indexer ses pages partagées, cela n'a pas empêché l'accès par DNS. Le site de sécurité urlscan.io conservait plus de 75 analyses de pages partagées de Muse. Claroc a dit n'avoir trouvé aucune preuve d'utilisation abusive. L'entreprise n'a pas averti les utilisateurs touchés et n'a pas pu déterminer si d'autres avaient découvert les liens. La déclaration officielle de Meta n'a pas précisé si les utilisateurs touchés par ce problème seraient informés.
Le partage de liens est suspendu à la suite d'un examen interne.
Le 20 octobre, Claroc a réexaminé 40 liens qui se chargeaient auparavant sans compte Meta. Aucun ne fonctionnait maintenant et les serveurs hébergeant le contenu ont renvoyé des erreurs. Cependant, les titres des conversations demeurent visibles dans les enregistrements DNS passifs. Meta a lancé Muse aux États-Unis le 8 septembre, ciblant les utilisateurs de 18 ans et plus. Cet assistant peut s'intégrer aux applications de messagerie, d'agenda, de paiement et de santé. En avril, Meta a présenté son modèle Muse Spark , développé dans son laboratoire de superintelligence.
Cet incident souligne les préoccupations croissantes concernant la confidentialité des données dans les applications d'IA, notamment lors du partage de conversations pouvant contenir des informations confidentielles ou sensibles. Des problèmes similaires sont apparus en 2025 lorsque des discussions ChatGPT partagées sont apparues dans les résultats de recherche Google. Meta a également fait l'objet d'un examen juridique concernant la sécurité des utilisateurs, notamment une décision de justice l'obligeant à verser 567 millions de dollars à la suite d'un jugement du tribunal du Nouveau-Mexique en août. Meta n'a pas encore annoncé de date de rétablissement pour la fonctionnalité de partage de Muse.
L'article « Des préoccupations en matière de confidentialité incitent Meta à suspendre le partage de liens de clavardage Muse pour les utilisateurs » est paru initialement sur Little Rock Gazette .