Meta Muse: Geteilte Chats waren per Suche auffindbar und legten Geheimnisse offen

Worum es geht

Muse ist ein neuer, universell einsetzbarer KI-Agent von Meta. Wie viele Online-Dienste erlaubt er es Nutzern, Suchen, Gespräche, Bilder und ähnliche Inhalte mit anderen zu teilen. Dafür erzeugt der Dienst eine eigene Web-Adresse (URL), unter der die Inhalte abrufbar sind. Sicherheitsforscher der Firma Claroc berichteten am Montag (20. Oktober 2026), dass sich diese Links massenhaft auffinden lassen. Dadurch können sensible Informationen von Nutzern öffentlich zugänglich werden. Auf Nachfrage von Ars Technica teilte Meta mit, die Teilen-Funktion vorerst auszusetzen, während das Unternehmen den Bericht prüft und Änderungen erwägt.

Wie Teilen-Links normalerweise funktionieren

Solche Funktionen beruhen meist darauf, dass ein Klick auf „Teilen“ eine einzigartige URL erzeugt, die jeder aufrufen kann, der sie kennt. Damit Unbefugte nicht an die Inhalte kommen, enthalten diese Adressen üblicherweise eine lange Zeichenfolge, die man nicht erraten kann. Muse scheint nach Angaben des Berichts dieselbe Vorsichtsmaßnahme zu treffen. Meta-Chef Mark Zuckerberg hatte Muse im vergangenen Monat als „von Grund auf für Privatsphäre und Sicherheit gebaut“ bezeichnet. Laut Claroc macht aber eine zentrale Designentscheidung beim Aufbau der URLs die Links leicht auffindbar. Der Artikel nennt diese Entscheidung nicht im Detail.

Was die Forscher fanden

Claroc konnte 6.800 Links auflisten, die Muse-Nutzer zum Teilen von Gesprächen erstellt hatten. Nach dem Öffnen einiger hundert stießen die Forscher auf Inhalte, die erkennbar nicht für die Öffentlichkeit gedacht waren:

Notizen eines Kandidaten zur Vorbereitung auf ein vertrauliches Gespräch zur Besetzung einer Führungsposition bei einem führenden KI-Labor, mit dem internen Ansprechpartner und der Uhrzeit des Termins
eine interne Umsatzauswertung eines nationalen Marketingunternehmens, adressiert an dessen Chef
der Kreditantrag eines Kleinunternehmers mit der beantragten Summe
eine To-do-Liste mit einer Betrugswarnung der Bank, teilweiser Kontonummer sowie Betrag und Zeitpunkt einer Transaktion
ein interner Leistungsbericht eines Immobilieninvestors mit zwei Objektadressen und genauen Zahlen zu Rendite, Einnahmen und Hypothek
ein Jahres-Urlaubskalender eines Betriebs, der Dutzende Mitarbeiter mit ihrer jeweiligen Abwesenheitswoche auflistet

Die Forscher schrieben dazu: „Wenn man uns vorher gefragt hätte, hätten wir vermutet, dass das Sammeln echten Aufwand erfordert. Es brauchte eine Abfrage.“

Wie die Links auffindbar wurden

Der einfachste Weg führt laut Bericht über eine sogenannte Passive-DNS-Suche bei einem der vielen kommerziellen Anbieter. DNS ist das „Telefonbuch des Internets“, das Domainnamen in IP-Adressen übersetzt. Passive-DNS-Datenbanken speichern den zeitlichen Verlauf solcher Zuordnungen sowie Einträge zu Nameservern und Mailservern. Die Daten stammen typischerweise von Sensoren an rekursiven DNS-Resolvern oder anderer Infrastruktur. Ein Eintrag entsteht, wenn ein Überwachungssystem eine DNS-Antwort beobachtet. Im vorliegenden Fall wird die DNS-Information laut Artikel in einer durchsuchbaren Datenbank erfasst, sobald der vorgesehene Empfänger auf den Teilen-Link klickt. So tauchen die Adressen dort auf und lassen sich abfragen. Der Artikel beschreibt die genauen technischen Zusammenhänge nur knapp.

Metas Reaktion und der Meldeweg

Meta erklärte per E-Mail, man habe das Bug-Bounty-Programm für Muse geöffnet, damit Forscher verschiedene Szenarien melden und das Produkt verbessern helfen. Nutzer könnten bestimmte Muse-Artefakte teilen, wodurch eine Seite entstehe, die jeder mit dem Link erreichen kann. Man habe diese Funktion pausiert, während man den Bericht prüfe und Änderungen daran erwäge, wie die Links entdeckt werden können.

Claroc-Mitgründer und Technikchef Asaf Aprozper sagte, er habe die Ergebnisse am 8. Oktober über Metas Bug-Bounty-Programm gemeldet und zusätzlich versucht, Meta-Mitarbeiter über LinkedIn zu erreichen. Er habe in beiden Fällen keine Antwort erhalten.

Einordnung

Der Fall zeigt ein bekanntes Muster: Ein „nur mit Link erreichbar“-Zugang ist kein echter Zugriffsschutz, wenn die Links selbst irgendwo auffindbar sind. Besonders heikel ist das bei KI-Assistenten, in die Nutzer oft sehr persönliche und geschäftliche Details eintippen. Die Behauptung, Muse sei auf Privatsphäre ausgelegt, steht damit in einem Spannungsverhältnis zum Befund. Offen bleibt, wie viele der 6.800 Links tatsächlich sensible Inhalte enthalten, denn die Forscher haben nur einige hundert geprüft. Unklar ist auch, ob jemand anderes die Links bereits ausgenutzt hat und wie Meta die Funktion überarbeiten will. Nutzer sollten vorerst bedenken, dass einmal geteilte Muse-Links möglicherweise öffentlich einsehbar waren. Ob und wie Meta bereits erstellte Links ungültig macht, geht aus dem Bericht nicht hervor.