Meta sospende funzione Muse: migliaia di chat private si trovavano con una query DNS

Meta ha sospeso la funzione di condivisione delle conversazioni di Muse, il suo assistente AI progettato per interagire con servizi e applicazioni online, dopo la scoperta di un problema che ha reso individuabili migliaia di chat attraverso i registri DNS. La ricerca condotta dagli esperti di sicurezza di Claroc, battezzata GhostShares, ha permesso di recuperare oltre 6.800 collegamenti a conversazioni condivise, alcuni dei quali contenevano informazioni finanziarie, documenti aziendali riservati e dettagli relativi ad attività professionali confidenziali. Per ottenere gli indirizzi non è stato necessario compromettere alcun account, aggirare sistemi di autenticazione o sfruttare vulnerabilità software tradizionali.

Il problema deriva da una scelta tecnica apparentemente innocua: Muse incorporava i titoli delle conversazioni e i relativi identificativi casuali nei nomi host utilizzati per pubblicare le pagine condivise. Tali nomi potevano finire negli archivi passive DNS, servizi che conservano informazioni storiche sulle risoluzioni dei domini.

Il caso richiama altri episodi che hanno coinvolto gli assistenti AI. A luglio 2025 OpenAI aveva eliminato la possibilità di rendere ricercabili su Google le conversazioni ChatGPT condivise; ad agosto dello stesso anno sono emersi oltre 370.000 collegamenti a conversazioni Grok indicizzati online. Con Muse, però, la scoperta degli indirizzi non richiedeva neppure l’intervento di un motore di ricerca: era sufficiente consultare una fonte di dati DNS che avesse registrato i nomi host interessati.

GhostShares: come una conversazione privata finiva in un elenco pubblico

Quando una persona chiedeva a Muse di condividere una conversazione, l’assistente pubblicava una pagina accessibile tramite un collegamento. Chiunque disponeva dell’URL corrispondente poteva aprirla senza autenticazione.

È un modello di condivisione piuttosto comune, spesso chiamato accesso tramite link: il possesso dell’indirizzo rappresenta, di fatto, l’unico requisito per consultare il materiale. Si presume che una sequenza casuale sufficientemente lunga impedisca a soggetti estranei di indovinare il collegamento.

Muse aggiungeva però un elemento problematico: anziché utilizzare esclusivamente un identificativo casuale in una porzione dell’URL, generava un nome host contenente anche il titolo della conversazione. Il risultato seguiva uno schema simile al seguente:

home-sale-budget-9f21c8a3.cf.metaaiusercontent.com

L’esempio, fornito dagli stessi ricercatori a scopo illustrativo, mostra tre componenti: il titolo della conversazione, un identificativo alfanumerico e il dominio utilizzato per distribuire i contenuti condivisi.

Perché il passive DNS rendeva inutili gli identificativi casuali

Il passive DNS è una tecnologia che raccoglie informazioni sulle risoluzioni DNS osservate nel tempo: a differenza di una normale interrogazione, che chiede quali record DNS corrispondano attualmente a un determinato nome, un servizio passive DNS permette di ricostruire parte della storia di un dominio e dei suoi sottodomini.

Operatori specializzati raccolgono dati attraverso resolver ricorsivi, sensori di rete e altre sorgenti: le informazioni possono includere nomi host, indirizzi IP associati, tipologie di record e intervalli temporali nei quali tali associazioni risultavano osservabili.

La tecnologia passive DNS nasce per finalità legittime, tra cui l’individuazione di infrastrutture malevole, l’analisi delle campagne di phishing e la ricostruzione dei collegamenti fra domini e server. GhostShares dimostra però come uno strumento utile alla sicurezza possa anche rivelare informazioni che un’applicazione ha collocato impropriamente nei nomi host.

Una richiesta DNS non diventa automaticamente visibile a chiunque su Internet e non ogni visita produce necessariamente una nuova richiesta DNS visibile a un sensore. Entrano in gioco le cache locali, il resolver utilizzato, il TTL (time to live) dei record DNS e la copertura effettiva delle infrastrutture di raccolta.

Nel caso specifico, però, il fornitore commerciale consultato da Claroc aveva raccolto abbastanza informazioni da rendere possibile la scoperta di migliaia di collegamenti.

Claroc non rivela il nome del fornitore di passive DNS utilizzato per individuare gli oltre 6.800 collegamenti. Chi volesse effettuare verifiche analoghe può utilizzare servizi come SecurityTrails e VirusTotal, che permettono, con funzionalità variabili in base all’abbonamento, di consultare sottodomini e informazioni DNS storiche.

Perché robots.txt non protegge i documenti condivisi

Meta aveva adottato una precauzione apparentemente ragionevole per Muse: il file robots.txt chiedeva ai crawler dei motori di ricerca e dei sistemi AI di non visitare i percorsi utilizzati per le conversazioni condivise.

Una configurazione del genere può limitare la scoperta dei contenuti mediante alcuni motori di ricerca, ma non rappresenta un meccanismo di controllo degli accessi. Le direttive robots.txt sono volontarie; un client può ignorarle e un server non dovrebbe mai interpretarle come una barriera di sicurezza.

Il passive DNS, inoltre, opera a un livello differente: non deve scaricare o indicizzare il contenuto HTML della pagina. Gli basta raccogliere il nome host presente nelle richieste DNS osservate.

Secondo la cronologia pubblicata da Claroc, le verifiche principali risalgono al 7 e all’8 ottobre 2026. L’8 ottobre il gruppo ha trasmesso una segnalazione al programma bug bounty di Meta, accompagnandola con istruzioni per riprodurre il problema ed esempi dei collegamenti individuati.

Meta ha poi deciso di sospendere la funzione di condivisione delle conversazioni Muse e ha iniziato a valutare possibili modifiche al modo in cui i collegamenti possono essere generati e “messi a fattor comune”.