Meta zawiesiła funkcję udostępniania rozmów w swoim agencie AI Muse po tym, jak firma Claroc wykazała, że ponad 6800 linków do „prywatnych” czatów użytkowników da się odnaleźć jednym zapytaniem do bazy pasywnego DNS. Wśród otwartych przez badaczy stron znalazły się między innymi wniosek kredytowy małej firmy, wewnętrzny przegląd przychodów przeznaczony dla prezesa i notatki kandydata przygotowującego się do poufnej rozmowy rekrutacyjnej z jednym z czołowych laboratoriów AI.
- Firma Claroc wykazała, że jednym zapytaniem do bazy pasywnego DNS można odnaleźć ponad 6800 linków do „prywatnych" rozmów użytkowników Meta Muse, ponieważ agent umieszczał tytuł czatu bezpośrednio w nazwie subdomeny (np. home-sale-budget-9f21c8a3.cf.metaaiusercontent.com), co automatycznie rejestrowały usługi pasywnego DNS.
- Wśród kilkuset stron otwartych przez badaczy Claroc znalazły się m.in. wniosek kredytowy właściciela małej firmy, wewnętrzny przegląd przychodów oznaczony jako materiał dla prezesa oraz notatki kandydata do poufnej rozmowy rekrutacyjnej w jednym z czołowych laboratoriów AI.
- Meta wstrzymała funkcję udostępniania rozmów w Muse 20 października 2026 roku – dwanaście dni po zgłoszeniu przez Claroc za pośrednictwem programu bug bounty i dopiero po pytaniach dziennikarzy Ars Technica.
Meta potwierdziła wstrzymanie funkcji w oświadczeniu przesłanym Ars Technica 20 października 2026 roku. Firma zapowiedziała, że przeanalizuje raport i rozważy zmiany w sposobie, w jaki linki do udostępnionych treści mogą być odnajdywane.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Tytuł rozmowy w adresie strony zamienił „prywatne” linki w publiczny spis treści
Problem nie polegał na złamaniu zabezpieczeń, tylko na jednej decyzji projektowej: Muse umieszczał tytuł rozmowy w nazwie subdomeny, a nie w ścieżce adresu URL. Każdy udostępniony czat trafiał pod adres w rodzaju home-sale-budget-9f21c8a3.cf.metaaiusercontent.com, gdzie pierwsza część to tytuł rozmowy, a druga to losowy identyfikator (przykłady w raporcie Claroc są zmyślone, prawdziwych adresów firma nie ujawnia).
Losowy identyfikator miał sprawiać, że adresu nie da się zgadnąć. Ale zgadywanie nie było potrzebne. Gdy odbiorca linku otworzy stronę, jego przeglądarka musi rozwiązać pełną nazwę hosta, a usługi pasywnego DNS (komercyjne bazy, które rejestrują historię zapytań o domeny obserwowanych przez ich resolwery) zapisują ją w przeszukiwalnej bazie. Wystarczy jedno zapytanie o wszystkie subdomeny cf.metaaiusercontent.com, by dostać listę udostępnionych rozmów z czytelnymi tytułami i kompletnymi identyfikatorami.
Claroc opisał to w raporcie opublikowanym 18 października 2026 roku pod nazwą GhostShares. Firma zwraca uwagę, że Muse próbował zabezpieczyć się przed wcześniejszym typem wycieku: plik robots.txt prosi wyszukiwarki i crawlery AI, by omijały ścieżki udostępnionych stron. Tyle że robots.txt reguluje indeksowanie, a nie dostęp, a badacze Claroc w ogóle nie korzystali z wyszukiwarki.
„Gdyby nas ktoś zapytał wcześniej, założylibyśmy, że zebranie tego wymaga prawdziwego wysiłku. Wystarczyło jedno zapytanie.” / „If you had asked us beforehand, we would have guessed that gathering these would take real effort. It took one query.”
Badacze otworzyli kilkaset stron i znaleźli dokumenty, które nie powinny być publiczne
Po odfiltrowaniu szumu ze skanów wildcard DNS w bazie pozostało ponad 6800 nazw hostów, a każda odpowiadała jednej udostępnionej rozmowie. Claroc otworzył tylko kilkaset z nich, w oknie incognito, bez logowania. Większość stron była nieszkodliwa: witryny małych firm, ogłoszenia, kalendarze wydarzeń. Mniejszość zawierała dane, których właściciele raczej nie chcieli pokazywać całemu światu.
Claroc opisał sześć przykładów, wyłącznie według kategorii, bez nazw i linków:
- notatki kandydata przygotowującego się do poufnej rozmowy z firmą executive search na temat stanowiska w jednym z czołowych laboratoriów AI, z nazwiskiem wewnętrznego kontaktu w laboratorium i godziną spotkania,
- wewnętrzny przegląd przychodów ogólnokrajowej firmy marketingowej, oznaczony jako materiał dla prezesa,
- wniosek kredytowy właściciela małej firmy, z kwotą, o którą się ubiegał,
- listę zadań zawierającą alert o oszustwie bankowym, z częściowym numerem konta oraz kwotą i godziną transakcji,
- raport wyników inwestora nieruchomościowego z dwoma adresami i dokładnymi liczbami dotyczącymi zwrotu, dochodu i kredytu hipotecznego,
- całoroczny kalendarz urlopów w pewnym miejscu pracy, z nazwiskami kilkudziesięciu pracowników i tygodniami ich nieobecności.
Badacze zaznaczają, że dwie firmy z tej listy zweryfikowali jako realne podmioty na podstawie publicznych źródeł. Nie kontaktowali się z poszkodowanymi, więc nie wiedzą, jakie były ich intencje przy udostępnianiu. Pasywny DNS nie był też jedynym kanałem: w publicznym serwisie urlscan.io Claroc znalazł ponad 75 zapisanych skanów stron udostępnionych z Muse.
Claroc podkreśla ograniczenia własnej metody. To jeden kanał odkrywania, jeden wzorzec nazw hostów i jeden produkt, sprawdzony w krótkim oknie czasowym. Badacze nie potrafią ocenić całkowitej skali ekspozycji ani tego, jak długo poszczególne strony były dostępne i czy ktoś inny znalazł je wcześniej.
Wypełnij formularz, a my skontaktujemy się z Tobą, aby upewnić się czego potrzebujesz.
Meta zgłoszenie dostała 8 października, zareagowała po pytaniach dziennikarzy
Claroc zgłosił problem przez program bug bounty Meta 8 października 2026 roku, dołączając kroki reprodukcji i przykładowe udostępnienia. Asaf Aprozper, współzałożyciel i CTO Claroc, powiedział Ars Technica, że próbował też dotrzeć do pracowników Meta przez LinkedIn, ale nie dostał odpowiedzi żadną z dróg.
Meta wstrzymała funkcję dopiero po pytaniach Ars Technica, 20 października, czyli dwanaście dni po zgłoszeniu i dwa dni po publikacji raportu. W oświadczeniu firma podkreśliła, że uruchomiła program bug bounty dla Muse właśnie po to, by badacze zgłaszali różne scenariusze, i że udostępnianie tworzy stronę dostępną dla osób z linkiem.
„Wstrzymaliśmy jednak tę funkcjonalność na czas analizy tego raportu.” / „However, we’ve paused this functionality while we review this report.”
Claroc tego samego dnia ponownie sprawdził 40 wcześniej dostępnych udostępnień. Żadne się nie otworzyło, a hosty zwracały błędy. Firma nie ma dowodów, by ktokolwiek wykorzystał znalezione strony w złych celach, i deklaruje, że usunie zebrane dane, gdy Meta potwierdzi, że ma wszystko, czego potrzebuje.
Meta nie zrobiła tu niczego, czego nie robili wcześniej inni. ChatGPT i Grok też udostępniały rozmowy przez publiczne linki i też kończyło się to wyciekami. Różnica polega na tym, że Meta uczyła się na tych wpadkach wybiórczo: zablokowała indeksowanie przez wyszukiwarki, ale wpisała tytuł rozmowy prosto w nazwę domeny, czyli w najbardziej publiczny rejestr w całym internecie. To nie jest wyrafinowany atak, to podstawy działania sieci, które każdy inżynier bezpieczeństwa powinien znać.
Ale najciekawsze w tej historii jest coś innego. Muse to agent, który z założenia dostaje dostęp do poczty, kalendarza, płatności i zdrowia. Zuckerberg sprzedaje go hasłem o prywatności i bezpieczeństwie „od podstaw”. W ciągu sześciu tygodni od premiery mamy zero-day pozwalający przejąć konto i funkcję udostępniania, która zamienia poufne dokumenty w publiczny katalog. Nie twierdzę, że Muse jest gorszy od konkurencji. Twierdzę, że zaufanie, którego ten produkt wymaga, nie jest jeszcze niczym poparte.
Otwarte pytanie: czy po wznowieniu funkcji Meta unieważni te 6800 istniejących linków? Jeśli nie, rekordy w pasywnym DNS nie znikną.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
To już drugi poważny problem z bezpieczeństwem Muse od premiery 8 września
Muse zadebiutował 8 września 2026 roku jako osobisty agent AI, który samodzielnie wypełnia formularze, rezerwuje spotkania, robi zakupy i tworzy dokumenty. Aplikacja szybko trafiła na szczyt rankingu App Store w USA. Żeby działać zgodnie z założeniem, agent potrzebuje dostępu do większości kont użytkownika, a Meta mocno akcentuje w marketingu, że produkt zasługuje na tak szerokie zaufanie.
Trzy tygodnie po premierze badacz bezpieczeństwa macOS Patrick Wardle, założyciel fundacji Objective-See, ujawnił lukę zero-day w aplikacji Muse na Maca. Nieuprzywilejowany lokalny proces mógł zmienić nieudokumentowane ustawienie i przekierować ruch dyktowania głosowego na serwer atakującego, przechwytując przy okazji token uwierzytelniający do całego konta. Wardle opublikował kod proof-of-concept 21 września, a Meta wydała poprawkę dzień później. Firma bagatelizowała wagę luki, argumentując, że wymaga ona wcześniej skompromitowanego urządzenia. Wardle w rozmowie z Ars Technica odpowiadał, że prosty atak typu ClickFix wystarczy, by taki warunek spełnić.
Do tego dochodzi spór z Amazonem, który według Gizmodo poprosił Meta o zablokowanie Muse możliwości robienia zakupów na Amazon.com w imieniu użytkowników, ponieważ agent nie identyfikował się podczas zakupów.
Wycieki udostępnionych czatów to powtarzający się problem całej branży
Claroc przypomina w raporcie, że ten typ wycieku nie jest nowy. W 2025 roku udostępnione rozmowy z ChatGPT pojawiły się w wynikach Google, a OpenAI wycofało opcję, która pozwalała na ich indeksowanie. Kilka tygodni później Google miało w indeksie ponad 370 tys. rozmów z Grokiem.
Różnica w przypadku Muse polega na kanale wycieku. Poprzednie przypadki dotyczyły wyszukiwarek, które można zablokować plikiem robots.txt. Pasywny DNS rejestruje nazwy hostów niezależnie od tego, czy ktokolwiek je indeksuje. Jedyną zmianą projektową, która zamyka tę drogę, jest przeniesienie tytułu i losowego identyfikatora z subdomeny do ścieżki URL, bo wtedy DNS widzi tylko domenę główną.
Claroc zaleca firmom, by traktowały Muse jak każdą inną aplikację shadow AI: sprawdziły, kto z pracowników już z niego korzysta, wyjaśniły ludziom, że link do udostępnionej rozmowy to publiczna strona, monitorowały tworzenie takich linków jak wychodzący transfer danych, a jeśli nie są w stanie tego wykryć, zablokowały domeny muse.ai i metaaiusercontent.com na firmowym proxy lub filtrze DNS.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Co to oznacza dla polskich użytkowników
Muse nie jest dostępny w Polsce ani nigdzie w Europie. Meta udostępniła agenta tylko w USA (od 8 września) i w Kanadzie (od 18 września), a terminu europejskiej premiery nie podała. Dla porównania: sam chatbot Meta AI trafił do Polski w marcu 2025 roku, blisko półtora roku po starcie w USA, po wcześniejszym wstrzymaniu wdrożenia przez irlandzkiego regulatora danych.
Lekcja z raportu Claroc dotyczy jednak narzędzi, z których Polacy korzystają na co dzień. ChatGPT, Claude, Gemini czy Grok oferują udostępnianie rozmów przez link i każde z nich tworzy przy tym publiczną stronę. Przypadek Muse pokazuje, że „tylko osoby z linkiem” w praktyce oznacza „każdy, kto potrafi znaleźć ten link”, a sposoby na znalezienie go wykraczają poza wyszukiwarki. Dla polskich firm wdrażających asystentów AI przydatna jest też rada Claroc, by samodzielnie utworzyć testowe udostępnienie w każdym używanym narzędziu i sprawdzić, co dokładnie trafia do nazwy hosta i adresu URL.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym raportu badawczego Claroc Research Team „GhostShares” z dnia 18.10.2026 oraz Ars Technica z dnia 20.10.2026 i Gizmodo. Dane o dostępności Muse w Europie pochodzą z Notebookcheck, a o europejskim starcie Meta AI z PAP. Do weryfikacji wykorzystano też publikacje Unite.ai, TechRadar i iTnews.
Cytaty Claroc Research Team oraz oświadczenie Meta zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym.
Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl.
Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji na temat wznowienia funkcji udostępniania w Meta Muse i losu już istniejących linków.
