Meta Muse: Geteilte Chats waren per DNS-Suche auffindbar

Ein Link, den jeder finden kann

Metas KI-Agent Muse lässt Nutzer Unterhaltungen über Weblinks teilen. Üblich ist dabei eine lange, nicht erratbare Zeichenfolge in der URL. Muse macht das im Prinzip auch, hat aber eine entscheidende Designentscheidung getroffen: Der Titel der Konversation steht in der Subdomain, nicht im URL-Pfad. Alle Links liegen unter cf.metaaiusercontent.com.

Das Problem: Subdomains landen in Passive-DNS-Datenbanken, sobald jemand den Link aufruft. Diese Dienste sind kommerziell zugänglich und durchsuchbar. Forscher der Sicherheitsfirma Claroc nennen die Folge „GhostShares": Seiten, die sich für Leute öffnen, denen nie jemand den Link gegeben hat.

Was dabei sichtbar wurde

Claroc zählte rund 6.800 Share-Links. Schon ein paar hundert Stichproben enthielten klar nicht öffentliche Inhalte:

• Notizen zu einem vertraulichen Gespräch mit einem KI-Labor, inklusive Ansprechpartner und Termin
• eine interne Umsatzauswertung, adressiert an den CEO eines Marketingunternehmens
• ein Kreditantrag mit Betrag
• eine To-do-Liste mit Bankbetrugswarnung und Teil-Kontonummer
• ein interner Immobilien-Performancebericht mit Adressen und Renditezahlen

„Es hat eine einzige Abfrage gebraucht", schreiben die Forscher.

Metas Reaktion

Claroc meldete den Fund am 8. Oktober über Metas Bug-Bounty-Programm und versuchte es zusätzlich über LinkedIn, bekam aber keine Antwort. Erst auf Nachfrage von Ars Technica erklärte Meta, die Teilen-Funktion zu pausieren und zu prüfen, wie die Links auffindbar sind.

Brisant ist der Kontext: Muse füllt Formulare aus, bucht Termine, kauft ein und braucht dafür Zugriff auf die meisten Konten der Nutzer. Zuckerberg hatte den Agenten als „von Grund auf für Privatsphäre und Sicherheit gebaut" beworben. Drei Wochen nach dem Start hatte bereits Patrick Wardle eine Zero-Day-Lücke gefunden, die einer anderen App auf demselben Gerät die volle Kontrolle über das Muse-Konto gab.

Merke: Wer Agenten mit weitreichenden Rechten ausstattet, sollte auch Share-Funktionen als Angriffsfläche betrachten – Geheimhaltung per „unerratbarer URL" hilft nicht, wenn die Adresse selbst in öffentlichen Logs auftaucht.

Quelle: Ars Technica