Meta 的 Muse 分享链接设计缺陷暴露用户私密对话

研究人员周一报告称，Meta 推出的新型通用 AI 智能体 Muse 在用户通过网页链接分享对话时，可能会泄露敏感信息。针对 Ars 就此行为提出的问题，Meta 表示正在暂停该分享功能，同时进行审查并考虑做出调整。

与许多在线服务一样，Muse 允许用户与他人分享搜索记录、对话、图像及类似内容。此类分享功能通常需要点击某个选项来生成一个唯一 URL，任何人都可以用它加载托管该内容的页面。为防止潜在敏感信息被非预期人员获取，这些 URL 通常包含一长串难以猜测的字符。

Meta 首席执行官马克·扎克伯格上个月表示，Muse“从底层开始就是为隐私和安全而构建的”，它似乎也采取了同样的预防措施。但构建 URL 时的一项核心设计决策使这些链接很容易被发现。结果，安全公司 Claroc 的研究人员表示，他们能够枚举出 Muse 用户为与他人分享对话而创建的 6,800 个链接。在打开其中几百个链接后，研究人员发现了显然不打算公开的信息，包括：

一位候选人准备与某前沿 AI 实验室进行机密高管寻访电话会议的笔记，其中写明了该实验室的内部联系人和会议时间；
一家全国性营销公司的内部营收审查报告，标注为呈送其 CEO；
一位小企业主的贷款申请，包含申请金额；
一份待办事项清单，其中包含一条银行欺诈警报，附有部分账号以及一笔交易的金额和时间；
一位房地产投资者的内部业绩报告，包含两处房产地址以及确切的回报、收入和按揭数字；
某工作场所的全年员工休假日历，列出了数十名员工以及每个人将休假的那一周；

“如果你事先问我们，我们会猜测收集这些信息需要付出真正的努力，”研究人员写道。“结果只花了一次查询。”

在回应 Ars 提问的一封电子邮件声明中，Meta 表示：“我们开放了 Muse 漏洞赏金计划，以便研究人员提出不同场景，帮助我们持续改进产品。用户能够分享特定的 Muse 产物，这会创建一个可供持有链接者访问的页面。不过，我们已暂停此功能，同时审查这份报告并考虑调整这些链接的发现方式。”

Claroc 联合创始人兼首席技术官 Asaf Aprozper 表示，他于 10 月 8 日通过 Meta 的漏洞赏金计划报告了这些发现，还尝试在 LinkedIn 上联系 Meta 的人员，但两种方式均未收到回复。

发现这些 URL 最简单的方法是通过众多可用的商业服务之一进行被动 DNS 搜索。被动 DNS 记录存储域名到 IP 地址的历史解析记录，以及随时间变化的名称服务器和邮件服务器记录。被动 DNS 系统通常从部署在递归 DNS 解析器或其他基础设施上的传感器收集 DNS 响应。当监控系统观察到 DNS 响应时，通常就会创建一条被动 DNS 记录。在本例中，一旦目标方点击分享链接，DNS 信息就会被记录到一个可搜索的数据库中。

Claroc 的研究人员之所以能够发现 Muse 的分享链接，是因为这些链接全都使用域名 cf.metaaiusercontent.com。此外，把对话名称连同长串文本一起加入 URL 的做法，也让发现变得更加容易。这类链接的简化示例如下：home-sale-budget-9f21c8a3.cf.metaaiusercontent.com、q3-revenue-review-7b1e42f0.cf.metaaiusercontent.com 和 loan-application-draft-a4c9e2.cf.metaaiusercontent.com。正是最后这一设计决定——把对话标题放在子域名中，而不是放在 URL 路径中——使得公开发现成为可能。

“很多 AI 助手都通过公开链接分享，”Claroc 说。“Muse 的分享之所以容易被找到，是因为标题就位于网址之中，公共 DNS 会把它记录下来，任何人都能搜索到。我们把这些页面称为 GhostShares：它们会向从未拿到链接的人开放，而且这些人可以自行找到它们。”

Muse 迅速跃升至 Apple App Store 的榜首位置之一。该助手能自主填写表单、预约、购物、创建文档，并执行各种其他操作。为了按预期工作，Muse 需要访问用户的大部分账户。Meta 大力宣传该助手是一个值得非凡信任的平台，而它要按预期工作正需要这种信任。

Muse 发布三周后，macOS 安全专家 Patrick Wardle 发现了一个零日漏洞，该漏洞允许同一设备上安装的任何其他应用完全控制用户的 Muse 账户。Meta 淡化了该漏洞的严重性，理由是除非设备已被攻陷，否则无法利用该漏洞。该公司没有承认 Wardle 的发现，即只需一次简单的 ClickFix 攻击就足以劫持账户。分享链接如此容易被发现，进一步让人有理由质疑 Muse 是否配得上它所要求的访问权限。

随着 Meta 暂停该功能，Muse 用户不再面临这一特定威胁，至少目前如此。

本文最初发表于 Ars Technica。