Meta hat die Teilen-Funktion seines KI-Agenten Muse ausgesetzt, nachdem Sicherheitsforscher mehr als 6.800 geteilte Unterhaltungen über passive DNS-Daten fanden. Unter den frei erreichbaren Seiten lagen interne Umsatzberichte, Kreditanträge und Notizen für ein vertrauliches Gespräch mit einem führenden KI-Unternehmen.
Gesprächstitel landeten im DNS
Meta brachte Muse am 8. September 2026 auf den Markt. Der KI-Agent füllt Formulare aus, bucht Termine, kauft ein und erstellt Dokumente. Dafür benötigt er Zugriff auf zahlreiche Konten und verarbeitet entsprechend sensible Informationen.
Wer eine Unterhaltung teilen wollte, erhielt eine öffentliche Seite, die sich ohne Anmeldung öffnen ließ. Dabei setzte Muse den Gesprächstitel zusammen mit einer langen zufälligen Zeichenfolge in eine eigene Subdomain unter »cf.metaaiusercontent.com«.
Genau diese Konstruktion machte die Links auffindbar. Sobald ein Empfänger die Seite öffnete, konnte der vollständige Hostname in den Daten eines passiven DNS-Dienstes landen. Eine Suche nach der Muse-Domain lieferte Claroc mehr als 6.800 solcher Hostnamen samt lesbarer Titel.
Die Forscher öffneten einige Hundert Seiten. Neben harmlosen Inhalten fanden sie einen internen Umsatzbericht für einen Geschäftsführer, einen Kreditantrag mit beantragter Summe, eine Betrugswarnung der Bank mit einem Teil der Kontonummer sowie einen Urlaubskalender mit den Namen zahlreicher Mitarbeiter. Claroc nennt solche auffindbaren Freigaben »GhostShares«.
Anzeige
Meta nimmt die Freigaben vom Netz
Claroc untersuchte die Seiten am 7. und 8. Oktober und meldete den Fund am 8. Oktober über Metas Bug-Bounty-Programm. Nachdem Ars Technica das Unternehmen mit den Ergebnissen konfrontiert hatte, setzte Meta die Funktion am 20. Oktober aus und kündigte eine Prüfung der Linkstruktur an.
Bei einer erneuten Kontrolle öffnete sich keine von 40 zuvor erreichbaren Freigaben mehr.
