6 800 conversations avec Meta Muse se retrouvent en public : une seule requête DNS a suffi

Muse, l’agent IA lancé par Meta le 8 septembre 2026, permet de partager une conversation avec un simple lien. Sauf que ce lien ne reste pas vraiment confidentiel. Le nom Muse désigne aussi la famille de modèles d’IA de Meta, qui enchaîne les annonces, de Muse Wonder, censé rattraper les meilleurs modèles du marché, à Muse Spark Open, un modèle ouvert qui tourne en local.

Claroc est une société de sécurité qui aide les entreprises à surveiller les applications SaaS et IA de leurs salariés. Dans un billet publié le 18 octobre, elle explique avoir retrouvé plus de 6 800 pages de partage Muse avec une seule requête. Ses chercheurs ont pu les ouvrir sans compte et sans connexion, et ils sont tombés sur des documents personnels et professionnels que personne n’avait l’intention de rendre publics.

Mark Zuckerberg, le patron de Meta, présentait pourtant Muse en septembre comme un assistant « conçu de A à Z pour la confidentialité et la sécurité ». D’autant que Muse demande un accès très large aux comptes de ses utilisateurs : leur messagerie, leur e-mails, leur agenda et leur fichiers.

L’agent avait déjà connu un problème de sécurité. Le 21 septembre, moins de deux semaines après le lancement, le chercheur Patrick Wardle, fondateur de l’association Objective-See, a publié une faille zero-day dans l’application Mac de Muse. Celle-ci permettait à un logiciel malveillant déjà installé sur le Mac de détourner la dictée vocale et de voler le jeton d’authentification de l’assistant.

Le titre de la conversation finit dans un registre public

Toutes les pages de partage Muse sont hébergées sur le domaine cf.metaaiusercontent.com. Pour chaque page, Muse crée une adresse qui commence par le titre de la conversation, suivi d’un identifiant aléatoire. Par exemple : home-sale-budget-9f21c8a3.cf.metaaiusercontent.com, pour un budget de vente de maison.

L’identifiant aléatoire est là pour qu’on ne puisse pas deviner le lien. Le problème vient du DNS, l’annuaire qui traduit le nom d’un site en adresse de serveur. Quand le destinataire ouvre le lien, son navigateur interroge cet annuaire. Des services de DNS passif enregistrent alors l’adresse complète, titre et identifiant compris, dans des bases où l’on peut faire des recherches. Il suffit ensuite de chercher le domaine de Muse pour obtenir toute la liste.

Claroc appelle ces pages des GhostShares, des « partages fantômes » qui s’ouvrent pour des gens qui n’ont jamais reçu le lien. Muse demande bien aux moteurs de recherche de ne pas indexer ces pages. Mais les chercheurs ne sont jamais passés par un moteur de recherche.

La plupart des pages ouvertes étaient banales : sites de petites entreprises, annonces, agendas d’événements. Une minorité contenait des données sensibles, que Claroc décrit sans nommer personne :

• les notes d’un candidat qui préparait un entretien confidentiel avec un laboratoire d’IA, avec le nom de son contact et l’heure du rendez-vous ;
• la revue des revenus internes d’une entreprise de marketing, destinée à son patron ;
• la demande de prêt d’un patron de petite entreprise, avec le montant demandé ;
• une liste de tâches qui mentionnait une alerte de fraude bancaire, avec un numéro de compte partiel ;
• le rapport d’un investisseur immobilier, avec deux adresses et les chiffres exacts de rendement et d’emprunt ;
• le calendrier des congés de toute une équipe sur un an.

Claroc a signalé le problème le 8 octobre au programme de bug bounty de Meta, qui récompense les chercheurs qui signalent des failles. D’après Asaf Aprozper, cofondateur et CTO de Claroc, Meta n’a jamais répondu. Meta n’a pas répondu tout de suite non plus aux questions d’Ars Technica, qui a relayé l’étude.

Pour Claroc, ce fonctionnement est voulu. Muse ne partage que par lien public, et c’est la seule façon pour le destinataire d’ouvrir la page. Les chercheurs précisent aussi que leurs 6 800 liens ne mesurent pas toutes les conversations exposées. Ils n’ont interrogé qu’un seul service de DNS passif, sur une courte période.

Que faire avant de partager une conversation Muse ?

Partez du principe qu’un lien Muse partagé est public, et que son titre peut être lu par n’importe qui dans les bases DNS.

Les chercheurs conseillent de ne pas mettre d’informations personnelles inutiles dans une conversation que vous comptez partager. Ils conseillent aussi de supprimer le lien une fois qu’il a servi. Méfiez-vous également du titre, puisque c’est lui qui dit aux curieux ce que contient la page.

Pour les entreprises, Claroc recommande de repérer les salariés qui utilisent Muse. Si l’entreprise ne peut pas surveiller ces partages, Claroc conseille de bloquer muse.ai et metaaiusercontent.com sur les appareils qu’elle gère.