AREX Feed Article
Claroc 称一条 DNS 查询枚举出 6,800 余条 Muse 分享链接，Meta 称已暂停分享功能
安全公司 Claroc 的研究人员说，他们只用一条被动 DNS（passive DNS）查询，就枚举出 Meta 的 AI 助手 Muse 6,800 余条分享链接，原因是这些链接的地址里写着对话标题。Meta 对 表示，公司已暂停 Muse 的分享功能，一边审查这份报告，一边考虑改动这些链接可被发现的机制。
Claroc 说，他们打开的那几百条链接里，出现了贷款申请、标注给 CEO 的内部营收审查和员工休假日历等页面。这些页面不需要登录，也不需要 Meta 账户。
被动 DNS 里的一份标题目录
按 Claroc 在中的说法，Muse 于 2026 年 9 月 8 日上线。一个月后，研究团队用一家商业被动 DNS 服务搜索 cf.metaaiusercontent.com 下的主机名，这是 Muse 存放分享内容的域名。返回的每一条主机名对应一次分享，因为 Muse 用分享标题拼接地址，结果列表读起来像一份目录。
剔除这类域名都会收集到的通配符 DNS 扫描噪音后，剩下 6,800 余个分享主机名。研究人员在博客里写道，如果事先被问到，他们会以为收集这些要费不少功夫，「结果只用了一条查询」。
Claroc 还提到，公开的 URL 扫描服务 urlscan.io 里已经存有 75 次以上针对 Muse 分享页的扫描记录。这些页面同样留在一个对外可查的扫描索引里。
标题落在了子域名上
常规做法是把分享链接里那串随机字符当作门槛：猜不到，就进不去。Muse 也生成了这样一串随机 ID，但把它和对话标题一起放进了子域名，而不是放在路径里。Claroc 用两个虚构的示意地址说明结构：home-sale-budget-9f21c8a3.cf.metaaiusercontent.com 和 q3-revenue-review-7b1e42f0.cf.metaaiusercontent.com，标题与 ID 均为虚构，结构按原样示意。
收件人第一次打开链接时，浏览器要为主机名做一次 DNS 查询。被动 DNS 服务在自己的解析器上看到这次查询，把主机名连同时间写进可检索的数据库，之后一条模式匹配就能把它们全部取回。整个过程不需要猜、不需要爬，也不需要绕过任何验证。随机 ID 本来是为了让地址猜不到，但只要有人打开过一次分享，完整主机名就连同这串 ID 一起被记录下来，Claroc 再从记录里还原出链接。
Muse 的 robots.txt 要求搜索引擎和 AI 爬虫避开分享路径。Claroc 指出，robots.txt 约束的是抓取而不是访问，他们的发现全程没有经过搜索引擎。流程图里还标了另一处：分享域名用的是通配符证书，证书透明日志里不会出现这些名字，被动 DNS 却照记不误。
Meta 的帮助页把分享模型写得很直接：点击分享链接后，「持有链接的人可以看到你的对话」，链接不会过期，拿到的人还可以继续转发。Claroc 注明这页讲的是 Meta AI 而非 Muse，但称它是 Meta 公开描述这类分享链接行为最接近的文档。
打开的那几百个页面
Claroc 按类别列出了六个页面，隐去了所有主机名、标题、数字与链接：一份候选人为某前沿 AI 实验室的保密高管搜寻电话准备的笔记，写明该实验室内部联系人和会议时间；一家全国性营销公司的内部营收审查，标注给 CEO；一位小企业主的贷款申请，含申请金额；一份带银行欺诈提醒的待办清单，含部分账号、交易金额和时间；一位房地产投资者的内部业绩报告，含两个房产地址以及回报、收入、按揭的精确数字；一家工作场所的全年员工休假日历，几十名员工各自外出的周次一目了然。
博客里放了一张真实分享页的截图：在未登录的 Chrome 隐身窗口里打开，页面右上角仍是「Log in」和「Sign up」，正文是那份电话准备笔记的注意事项与提问清单，会议时间标注为 9 月 23 日周三下午 3:00 至 3:30（太平洋时间）。
Claroc 说他们没有联系涉及的个人或公司，因此无法判断当事人原本的意图，只能说内容明显敏感。团队把这些链接称为 GhostShares：页面会为从未拿到链接的人打开，而这些人能自己找到它们。
一个要求大部分账户权限的助手
Muse 是 Meta 的通用 AI agent，能自动填表、预约、购物、生成文档，为此需要接入用户的大部分账户。Ars Technica 的报道称，Muse 上线后迅速进入苹果 App Store 的前列；Meta CEO Mark Zuckerberg 在 9 月说，这款产品「从底层就是为隐私和安全打造的」。
同一篇报道还提到，Muse 上线三周后，macOS 安全研究者 Patrick Wardle 发现一个零日漏洞，能让同设备上任何其他应用完全控制用户的 Muse 账户。Meta 以「设备已被入侵才能利用」为由淡化了严重性，没有认可 Wardle 关于一次简单的 ClickFix 攻击即可劫持账户的结论。
Meta 称已暂停，正在审查
Meta 在回复 Ars 提问的邮件声明中说：
我们开放 Muse 的漏洞赏金计划，是为了让研究人员提出不同场景，帮助我们持续改进产品。用户可以分享特定的 Muse 内容，这会生成一个持有链接即可访问的页面。不过，我们已暂停这项功能，同时审查这份报告，并考虑改动这些链接可被发现的机制。
声明只说了暂停与审查，没有给出数量或具体页面。Claroc 联合创始人兼 CTO Asaf Aprozper 对 Ars 说，他在 10 月 8 日通过 Meta 的漏洞赏金项目提交了复现步骤和示例分享，也试着在 LinkedIn 上联系 Meta 的人，两条渠道都没有得到回复。
6,800 余条这个数字、枚举方法以及页面内容，都来自 Claroc 一方的陈述；Meta 的暂停决定，是公司应媒体提问作出的在册表态。
暂停之后，复查的 40 条链接都打不开了
Claroc 在 10 月 20 日给博客补了一段更新：他们复查了本月早些时候无需账户就能打开的 40 条分享，没有一条还能打开，提供这些内容的服务器返回了错误。Ars 的报道也写道，随着功能暂停，Muse 用户至少目前不再面对这一特定威胁。
Claroc 也写明了这套方法的边界：只有一个发现渠道、一种主机名模式、一个产品、一个很短的观察窗口；这不是对 Muse 总暴露面的测量，他们也无法判断任何一条分享此前已经可达多久，或是否有人更早发现。他们没有找到这些分享被滥用的证据。博客末尾介绍了公司销售的安全产品，用于在员工创建公开分享链接时通知安全团队。
主机名本身没有随功能一起消失。Claroc 说，这些地址连同标题仍留在被动 DNS 的历史记录里；等 Meta 确认拿到所需信息后，他们会删除自己保存的发现数据。