Meta Muse 分享链接的设计缺陷暴露用户私人对话

Meta 已暂停其 AI 智能体 Muse 的分享功能，此前安全公司 Claroc 发现该功能的链接设计会让用户的私人对话可被公开检索。Muse 把对话标题放在 cf.metaaiusercontent.com 的子域名中，链接一旦被点击就会进入被动 DNS 记录，研究者称只需一次查询就枚举出 6800 条分享链接。打开其中数百条后，他们看到求职者为某前沿 AI 实验室保密面试准备的笔记、一家全国性营销公司的内部营收审查、小企业主的贷款申请、含部分账号的银行欺诈提醒、房产投资回报表和员工全年休假安排等信息。Claroc 联合创始人兼 CTO Asaf Aprozper 称已于 10 月 8 日通过 Meta 漏洞赏金项目提交报告。Meta 表示正在审查该报告并考虑修改链接的可发现方式，暂停期间用户不再面临这一威胁。