Meta Muse共享链接泄露用户隐私，一次查询即可获取数千会话
速览
Meta 新推出的 AI 智能体 Muse 被曝出严重隐私漏洞，用户分享的对话链接可被轻易发现。安全公司 Claroc 通过一次查询就枚举出 6,800 个共享链接，其中包含贷款申请、内部财报等敏感信息。这意味着任何有心人都能通过公开的 DNS 记录找到并访问这些本应私密的对话内容。
安全公司 Claroc 的研究人员发现，Muse 的共享链接设计存在根本缺陷。所有链接都使用 cf.metaaiusercontent.com 域名，且 URL 中直接包含对话标题，如 home-sale-budget-9f21c8a3.cf.metaaiusercontent.com。这种设计使得链接可通过被动 DNS 搜索轻松发现——DNS 记录会永久保存域名解析历史，一旦接收方点击链接，相关信息便会被监控系统记录并存入可搜索数据库。
研究人员实际打开数百个链接后，发现了大量明显不应公开的信息，包括：
- 求职者准备保密高管面试的笔记，包含内部联系人及会议时间
- 全国性营销公司的内部营收审查报告，标注为仅限 CEO 审阅
- 小企业主的贷款申请，含具体申请金额
- 包含银行欺诈警报的待办清单，含部分账号及交易详情
- 房地产投资者的内部绩效报告，含房产地址及精确回报率数据
- 公司全年员工休假日历，列有数十名员工姓名及休假周次
Muse 发布后迅速攀升至苹果应用商店榜首，其卖点在于能自主填表、订约、购物等，需要访问用户大部分账户权限。此前 macOS 安全专家 Patrick Wardle 就曾发现其零日漏洞，可让同设备其他应用完全控制用户账户，但 Meta 当时淡化了严重性。Claroc 表示已联系 Meta 但未获回复，他们认定这是设计使然。研究人员建议用户尽量减少在对话中讨论敏感信息，并在共享后尽快删除链接。
原文Meta Muse exposes users' personal and business secrets when they share conversationsarstechnica.com
#Meta#隐私#安全
本文由程序自动抓取公开报道，经 AI 筛选与改写生成，未经人工逐条核实，事实以原文为准。