1回のDNSクエリだけで、Meta Museの会話共有リンクが数千件見つかり、その中には個人情報や企業情報などの機密情報を露呈するものも含まれていた。
サイバーセキュリティ企業Clarocの研究者は、Metaの新しいAIプラットフォーム「Muse」に、ユーザーの機密情報を露呈させる可能性のある欠陥があることを発見した。パッシブDNSレコードを通じて、6,800件を超える会話共有リンクを特定したという。
影響を受けたページをいくつか開いたところ、個人の金融情報や銀行詐欺の警告、機密性の高い企業レポートを含む会話が見つかった。いずれもMuseアカウントにサインインせずにアクセスできた。
この発見を受け、Metaは問題を調査する間、共有機能を一時停止した。Clarocは悪用の証拠を確認していないと報告したが、今回の調査結果は、AIとの会話を共有しやすくするために設計された機能が、意図しない相手に機密情報を露呈させる可能性も示している。
リンクさえあれば十分だった
Clarocの共同創業者兼CTOであるAsaf Aprozper氏によると、同社は10月8日にMetaのバグ報奨金プログラムへ問題を報告したが、返答はなかった。Aprozper氏はLinkedIn経由で同社への連絡も試みたと、Ars Technicaは報じている。
Metaはセキュリティを念頭に構築されたMuseを一から売り込んできたが、今回の発見は、会話共有機能がいかに容易に機密情報を露呈させるかを示した。Clarocの研究者は、商用パッシブDNSサービスに対して1回クエリを実行するだけで、6,800件を超える共有リンクを特定できたと説明し、そのうち数百件を調査した。
その仕組みについて説明すると、Clarocによれば、Museは会話のタイトルにランダムな識別子を続けた形式で、共有可能なWebアドレスを生成していた。ドメインはcf.metaaiusercontent.com。
共有された会話のホスト名がDNSを通じて名前解決されると、その照会はパッシブDNSシステムによって観測・記録される可能性がある。商用のパッシブDNSデータベースはこうした記録を集約しているため、過去にアクセスされたホスト名が研究者や他の加入者から発見可能になる場合がある。
ランダムな識別子は、リンクを推測しにくくすることを意図したものだった。しかし、完全なホスト名がパッシブDNSレコードに現れると、レコードにアクセスできる人物が関連ページを見つけて開くことを防げなくなった。
Clarocは、こうして露呈したページを「GhostShares」と呼んでいる。リンクを通じてユーザーが共有した会話が、そのリンクを持たない人にも発見可能になっていたためだ。
研究者は、小規模事業者のオーナーの融資申請書、企業内部の売上レビュー、銀行詐欺の警告、AI研究所との機密性の高い通話に向けて候補者を準備するためのメモなど、さまざまな機密資料を発見した。
Clarocは、セキュリティ上の明白な理由から、クエリの内容を公開しなかった。
AIとの会話共有に伴うリスクはMuseだけにとどまらない
Metaはその後、Museの共有機能を一時停止した。Clarocが再確認したところ、以前はアクセスできたページのうち40件は開けなくなっていたが、ホスト名はパッシブDNSの履歴に残っていたという。
ほかのAIプラットフォームでも、共有会話をめぐって別の問題が起きている。2026年7月、WIREDは、一般公開された一部のClaudeの会話がGoogleとBingの検索結果に表示されていたと報じた。Anthropicはクロールを控えるようrobots.txtを使用していたにもかかわらず、ページにはnoindexディレクティブがなかったという。
WIREDは報じた。共有ページにはnoindexディレクティブが設定されていなかった。これは検索エンジンにページを検索結果へ含めないよう指示するものだ。一方、Anthropicはクローラーにページへアクセスしないよう指示するためにrobots.txtを使用していた。
OpenAIも2025年7月に、類似しているが別の問題に直面した。ユーザーが自分のチャットを検索可能にすることを選べる実験の最中に、共有されたChatGPTの会話が検索エンジンから発見可能になったのだ。OpenAIはその後この機能を削除し、ユーザーが意図せずコンテンツを共有する機会をあまりにも多く生み出していたと認めた。
技術的な仕組みは異なっていたものの、これらの事例は、繰り返し現れる問題を示している。限られた相手を想定した会話が、所有者の予想をはるかに超えて広くアクセス可能になり得るのだ。
ユーザーとセキュリティチームがすべきこと
ユーザーにとって当面の教訓は、個人情報や金融情報、企業情報を含むAIとの会話について、共有可能なリンクを作成しないことだ。推測しにくそうなリンクだからといって、自動的に非公開だと考えてはならない。
会話を共有しなければならない場合は、AIとの会話を機密性の高い記録として扱うべきだ。特に、金融情報や社内文書、個人情報、機密性の高い計画を含む場合はなおさらである。
チャットを共有する前に、その内容と、誰がアクセスできるようになるのかを確認しよう。共有リンクを削除したり機能を無効にしたりしても、すでに他の場所で収集されたコピーや履歴記録まで消去できるとは限らない。
AIツールが日常業務の一部になるにつれ、そのセキュリティ対策はプロンプトインジェクション攻撃の低減やアカウント侵害の防止にとどまらず、ユーザーが託した情報が、会話を共有することを選んだだけで意図しない相手に届かないようにすることまで含まれなければならない。
Museをめぐる今回の発見は、AIとの会話を保護するには、アカウント侵害やプロンプトインジェクション攻撃を防ぐだけでは不十分であることを示している。ランダムに生成された共有リンクであっても、それを取り巻くシステムによって発見可能になれば、機密情報を露呈させる可能性がある。
その他のニュース：Microsoftの2026年10月のWindows Serverセキュリティ更新プログラムにより、一部のオンプレミスExchange環境でメール障害が発生し、Webメールへのアクセス失敗やメッセージ配信の遅延などが起きている。