6800 个 Muse 分享页被 DNS 翻了出来：Meta 按下暂停键，历史记录却删不掉

一位候选人为了和一家前沿 AI 实验室的负责人通一次机密电话，把内部联系人、会议时间整理进了 AI 助手的对话框。他大概没想到，这段对话的分享链接会以子域名的形式，落在公开可查的被动 DNS 数据库里，等着被人翻出来。

网络安全研究团队 Claroc 在 10 月 18 日发布的报告里说，他们只做了一次被动 DNS 查询，就发现了超过 6800 个 Meta 个人 AI 助手 Muse 的分享页面主机名。抽查数百个页面后，里面出现了企业营收审查文件、小企业贷款申请、银行欺诈警报、房地产投资数据和员工年度休假安排。

一分钟速览

• Muse 的分享页用对话标题生成子域名，挂在 cf.metaaiusercontent.com 下。
• 页面被访问后，主机名可能进入被动 DNS 历史库，任何人查询就能重新发现链接。
• Claroc 一次查询找到 6800 多个分享页面，抽查内容涉及财务与内部会议材料。
• 这些页面无需登录 Meta 账号，拿到链接就能直接看。
• Meta 已暂停分享功能；10 月 20 日复查的 40 个页面已无法打开，但 DNS 历史记录仍在。

泄露的不是随机串，而是写进域名里的标题

Claroc 的排查路径值得所有做分享功能的产品抄一遍。Muse 的分享机制本身并不复杂：用户把某段对话分享出去，系统生成一个网页，部署在 cf.metaaiusercontent.com 域名下。问题出在命名方式——网页地址里包含了对话标题。

域名一旦被解析，就会被被动 DNS 服务记录下来。这类数据库本来是为安全研究准备的，收集的是谁查过哪个域名的历史，任何人都能查询。于是，一串本该只在小范围流传的链接，变成了可以被批量检索的公开索引。Claroc 强调，攻击者并没有破解随机标识符，也不需要猜链接，只是把域名历史翻了一遍。

内容有多具体，风险就有多大

研究人员抽查的页面里，有企业营收审查材料，有面向小企业的贷款申请，有银行发来的欺诈警报，也有房地产投资数据。更麻烦的是那份为机密电话准备的材料：里面写明了内部联系人是谁、什么时候通话。

换句话说，用户以为自己只是把一段对话发给同事看看，实际上把对话主题、甚至对话里最敏感的那几行，一起挂到了互联网的边缘。分享功能的默认心理预期是只有拿到链接的人能看到，但当链接可以被检索式地重新发现时，这个预期就失效了。

暂停一个开关容易，清掉历史很难

Claroc 在 10 月 8 日通过 Meta 的漏洞赏金计划提交了问题。Meta 发言人回应称，用户确实可以分享特定的 Muse 内容并生成链接页面，公司已经暂停这一功能，用来审查报告并考虑如何调整链接的可发现性。

10 月 20 日，研究团队更新了报告：此前能在未登录状态下打开的 40 个分享页面，现在都打不开了，主机名返回错误。但报告同时指出，已经进入被动 DNS 历史记录的域名和对话标题依然存在。暂停分享只能让新链接不再产生，抹不掉已经沉淀下来的索引。

研究团队也留了余地：这次调查只覆盖特定域名模式和一种发现渠道，不能据此推断 Muse 全部分享内容的暴露规模；目前也没有证据表明这些页面被恶意利用，无法确认是否有人在研究团队之前访问过。

趋势判断

这件事真正的价值不在又一家大厂出隐私事故，而在于它暴露了一类通用设计缺陷：把用户生成的内容写进可被外部观测的标识符里，等于给内容加了一个自动播报器。域名、URL 路径、对象存储的键名、分享短码的前缀，都在这条线上。

随着 AI 助手开始处理越来越多私人事务，分享会变成高频动作——把行程发给家人、把会议纪要发给同事、把病历摘要发给医生。产品团队需要回答的问题不再只是链接够不够随机，而是这个链接在被记录、被转发、被索引之后，还能不能收得回来。对用户来说，最实际的一条建议是：涉及金额、身份、健康、合同的对话，分享前先手动删掉关键句，别指望撤回按钮。