Eine einzige DNS-Abfrage genügte, um Tausende von Links zum Teilen von Meta-Muse-Unterhaltungen aufzudecken – darunter einige, die sensible persönliche und geschäftliche Informationen preisgaben.
Forscher des Cybersicherheitsunternehmens Claroc haben eine Schwachstelle in Metas neuer KI-Plattform Muse aufgedeckt, durch die vertrauliche Informationen von Nutzern offengelegt werden konnten. Über passive DNS-Datensätze identifizierten sie mehr als 6.800 Links zum Teilen von Unterhaltungen.
Nachdem sie mehrere betroffene Seiten geöffnet hatten, fanden die Forscher Unterhaltungen mit persönlichen Finanzdaten, Warnungen vor Bankbetrug und vertraulichen Geschäftsberichten – alles ohne Anmeldung bei einem Muse-Konto zugänglich.
Die Entdeckung veranlasste Meta, die Funktion zum Teilen auszusetzen, während das Unternehmen den Vorfall untersucht. Obwohl Claroc keine Hinweise auf einen Missbrauch meldete, zeigen die Ergebnisse, wie eine Funktion, die das Teilen von KI-Unterhaltungen erleichtern soll, gleichzeitig sensible Informationen für unbeabsichtigte Empfänger zugänglich machen kann.
Ein Link genügte
Laut Asaf Aprozper, Mitgründer und CTO von Claroc, meldete das Unternehmen das Problem am 8. Oktober an Metas Bug-Bounty-Programm, erhielt jedoch keine Antwort. Aprozper versuchte außerdem, das Unternehmen über LinkedIn zu erreichen, berichtet Ars Technica.
Während Meta betont hat, Muse von Grund auf sicher zu entwickeln zeigte die Entdeckung, wie leicht seine Funktion zum Teilen von Unterhaltungen sensible Informationen preisgeben konnte. Claroc-Forscher stellten fest, dass eine einzige Abfrage bei einem kommerziellen passiven DNS-Dienst genügte, um mehr als 6.800 Links zum Teilen zu identifizieren; Hunderte davon untersuchten sie genauer.
Wie das funktionierte, erklärte Claroc: Muse erzeugte jede teilbare Webadresse aus dem Titel der Unterhaltung, gefolgt von einer zufälligen Kennung, unter der Domain cf.metaaiusercontent.com.
Wenn der Hostname einer geteilten Unterhaltung per DNS aufgelöst wird, kann diese Abfrage von passiven DNS-Systemen beobachtet und aufgezeichnet werden. Kommerzielle passive DNS-Datenbanken sammeln solche Datensätze und machen zuvor aufgerufene Hostnamen möglicherweise für Forscher oder andere Abonnenten auffindbar.
Die zufälligen Kennungen sollten es erschweren, die Links zu erraten. Sobald vollständige Hostnamen jedoch in passiven DNS-Datensätzen auftauchten, schützte dies nicht mehr davor, dass jemand mit Zugriff auf die Datensätze die zugehörigen Seiten finden und öffnen konnte.
Claroc bezeichnet diese offengelegten Seiten als GhostShares: Unterhaltungen, die Nutzer über Links geteilt hatten und die auch Personen ohne diese Links entdecken konnten.
Die Forscher fanden unterschiedlichste sensible Inhalte, darunter den Kreditantrag eines Kleinunternehmers, eine interne Umsatzanalyse eines Unternehmens, eine Warnung vor Bankbetrug und Notizen zur Vorbereitung eines Kandidaten auf ein vertrauliches Gespräch mit einem KI-Labor.
Claroc veröffentlichte die Abfrage aus offensichtlichen Sicherheitsgründen nicht.
Risiken beim Teilen von KI-Unterhaltungen gehen über Muse hinaus
Meta hat die Teilen-Funktion von Muse inzwischen ausgesetzt. Claroc berichtete, dass 40 zuvor zugängliche Seiten, die das Unternehmen erneut überprüfte, nicht mehr geöffnet werden konnten, obwohl ihre Hostnamen im passiven DNS-Verlauf verblieben.
Auch andere KI-Plattformen hatten mit unterschiedlichen Problemen im Zusammenhang mit geteilten Unterhaltungen zu kämpfen. Im Juli 2026 berichtete WIRED, dass einige öffentlich geteilte Claude-Unterhaltungen in den Suchergebnissen von Google und Bing auftauchten. Den Seiten fehlte Berichten zufolge eine Noindex-Direktive, obwohl Anthropic robots.txt nutzte, um das Crawling zu erschweren.
WIRED berichtete, dass den geteilten Seiten eine noindex-Direktive fehlte, die Suchmaschinen anweist, eine Seite nicht in ihre Ergebnisse aufzunehmen, obwohl Anthropic robots.txt nutzte, um Crawler anzuweisen, nicht auf die Seiten zuzugreifen.
OpenAI stand im Juli 2025 vor einem ähnlichen, aber anders gelagerten Problem, als geteilte ChatGPT-Unterhaltungen während eines Experiments über Suchmaschinen auffindbar wurden. Bei diesem konnten Nutzer zustimmen, ihre Chats durchsuchbar zu machen. OpenAI entfernte die Funktion anschließend und räumte ein, dass sie zu viele Möglichkeiten geschaffen hatte, Inhalte unbeabsichtigt zu teilen.
Obwohl sich die technischen Mechanismen unterschieden, weisen die Vorfälle auf ein wiederkehrendes Problem hin: Eine Unterhaltung, die für einen begrenzten Empfängerkreis gedacht ist, kann weitaus leichter zugänglich werden, als ihr Besitzer erwartet.
Was Nutzer und Sicherheitsteams tun sollten
Für Nutzer lautet die unmittelbare Lehre, keine teilbaren Links für KI-Unterhaltungen mit sensiblen persönlichen, finanziellen oder geschäftlichen Informationen zu erstellen. Ein Link, der schwer zu erraten scheint, sollte nicht automatisch als privat betrachtet werden.
Wenn Sie eine Unterhaltung teilen müssen, sollten Sie Ihre KI-Unterhaltungen als potenziell sensible Aufzeichnungen behandeln – insbesondere, wenn sie Finanzinformationen, interne Geschäftsdokumente, persönliche Daten oder vertrauliche Pläne enthalten.
Überprüfen Sie vor dem Teilen eines Chats, welche Inhalte er umfasst und wer darauf zugreifen können wird. Das Entfernen eines Teil-Links oder das Deaktivieren einer Funktion löscht möglicherweise keine Kopien oder historischen Datensätze, die andernorts bereits gesammelt wurden.
Da KI-Tools Teil der täglichen Arbeit werden, muss ihre Sicherheit über die Reduzierung von Prompt-Injection-Angriffen und die Verhinderung von Kontoübernahmen hinausgehen. Sie muss auch sicherstellen, dass die Informationen, die Nutzer ihnen anvertrauen, nicht allein deshalb unbeabsichtigte Empfänger erreichen, weil sie sich entschieden haben, eine Unterhaltung zu teilen.
Die Entdeckung rund um Muse zeigt, dass der Schutz von KI-Unterhaltungen mehr erfordert als die Verhinderung von Kontoübernahmen oder Prompt-Injection-Angriffen. Selbst ein zufällig generierter Link zum Teilen kann sensible Informationen preisgeben, wenn die ihn umgebenden Systeme diesen Link auffindbar machen.
Weitere Nachrichten: Die Sicherheitsupdates von Microsoft für Windows Server im Oktober 2026 haben bei einigen Exchange-Bereitstellungen vor Ort zu Problemen mit dem E-Mail-Verkehr geführt, darunter fehlender Webmail-Zugriff und verzögerte Nachrichtenzustellung.