Meta Muse ujawnia udostępnione rozmowy. Co odkryli badacze

Jak udostępnione rozmowy stają się publiczne

Muse, osobisty agent AI Meta, pozwala udostępnić rozmowę innej osobie. Tworzy wtedy publiczną stronę i link, który otwiera się bez logowania. Tak działa wiele asystentów AI, a link zawiera długi, losowy ciąg znaków, którego nie da się odgadnąć.

Problem polega na tym, że Muse umieszcza w adresie także tytuł rozmowy, i to w nazwie domeny, a nie w dalszej części adresu. Gdy odbiorca otworzy link, jego przeglądarka wysyła zapytanie DNS (do systemu tłumaczącego nazwy domen na adresy serwerów). Komercyjne usługi tzw. pasywnego DNS zapisują takie zapytania i udostępniają je do przeszukiwania. W ten sposób pełna nazwa strony, z tytułem i losowym identyfikatorem, staje się publicznie znana.

Badacze podkreślają, że niczego nie łamali ani nie zgadywali. Zablokowanie wyszukiwarek w pliku robots.txt, które Meta stosuje, nie pomaga, bo ta metoda w ogóle nie korzysta z wyszukiwarek. Według Claroc część stron zapisał też publiczny serwis do skanowania adresów URL.

Jakie dane znaleźli badacze

Większość otwartych stron była według Claroc niegroźna, np. strony małych firm czy kalendarze wydarzeń. Mniejszość zawierała jednak informacje, które wyraźnie nie miały być publiczne. Badacze opisali sześć przykładów bez podawania nazw:

• notatki kandydata przed poufną rozmową z laboratorium AI, z nazwiskiem osoby kontaktowej i godziną spotkania,
• wewnętrzny przegląd przychodów firmy marketingowej przygotowany dla prezesa,
• wniosek kredytowy właściciela małej firmy z wnioskowaną kwotą,
• listę zadań z alertem bankowym o oszustwie, fragmentem numeru konta i kwotą transakcji,
• raport inwestora nieruchomości z adresami i danymi o dochodach oraz kredytach hipotecznych,
• roczny kalendarz urlopów kilkudziesięciu pracowników.

Co na to Meta i dlaczego to nie pierwszy taki przypadek

Claroc zgłosił problem w programie bug bounty Meta 8 października 2026 roku. Współzałożyciel firmy Asaf Aprozper napisał Ars Technica, że Meta nie odpowiedziała, a badacze uznali to działanie za zgodne z projektem usługi. Meta nie odpowiedziała też na pytania Ars Technica. Badacze nie mają dowodów, że ktoś wykorzystał te strony, ale zaznaczają, że nie wiedzą, czy ktoś znalazł je wcześniej.

Podobne wpadki zdarzały się już innym firmom. W 2025 roku udostępnione rozmowy z ChatGPT trafiły do wyników Google, a później w wyszukiwarce pojawiły się setki tysięcy rozmów z Groka. Ars Technica przypomina też, że trzy tygodnie po premierze Muse badacz Patrick Wardle opisał lukę pozwalającą innej aplikacji na tym samym komputerze przejąć konto Muse.

Co oznacza to dla użytkowników i firm w Polsce

Muse oficjalnie działa tylko w USA, więc bezpośrednio dotyczy to głównie osób i firm, które korzystają z niego tam, np. pracowników amerykańskich oddziałów polskich spółek. Mechanizm jest jednak ogólny. Każdy link do rozmowy z asystentem AI warto traktować jak publiczną stronę, niezależnie od tego, czy chodzi o Muse, ChatGPT, Claude czy Gemini.

Dla firm to także kwestia RODO. Jeśli pracownik udostępni linkiem rozmowę z danymi klientów lub współpracowników, firma powinna ocenić, czy doszło do naruszenia ochrony danych osobowych, które może wymagać zgłoszenia do UODO w ciągu 72 godzin. Claroc zaleca traktowanie Muse jak każdego niezatwierdzonego narzędzia AI w firmie (tzw. shadow AI), czyli najpierw sprawdzenie, kto z niego korzysta.

Jak ograniczyć ryzyko

Na podstawie zaleceń badaczy i własnej oceny redakcja dailyAI proponuje kilka prostych kroków:

• nie udostępniaj linkiem rozmów z danymi osobowymi, finansowymi lub poufnymi informacjami firmy,
• nadawaj rozmowom neutralne tytuły, bo w Muse tytuł trafia do adresu strony,
• usuwaj udostępnione linki zaraz po tym, jak odbiorca z nich skorzysta,
• w firmie dopisz do zasad korzystania z AI, że link do rozmowy oznacza publikację jej treści,
• jeśli dział IT nie widzi, jak pracownicy korzystają z Muse, rozważ zablokowanie usługi na służbowych urządzeniach.

Czego nie wiadomo

Badanie objęło jedno źródło danych i krótki okres, więc nie pokazuje pełnej skali problemu. Nie wiadomo, jak długo poszczególne strony były dostępne ani czy Meta zmieni sposób budowania adresów. Informacje o zawartości stron pochodzą od Claroc, firmy sprzedającej narzędzia do wykrywania takich udostępnień, i nie zostały niezależnie zweryfikowane przez redakcję.