Meta stoppt Muse-Chat-Freigabe nach DNS-Leck, das private Daten offenlegte

Meta hat die Link-Freigabefunktion für seinen KI-Assistenten Muse vorübergehend deaktiviert, nachdem Sicherheitsforscher entdeckten, dass Tausende privater Konversationen öffentlich zugänglich waren. Der Fehler ermöglichte es jedem mit Zugriff auf öffentliche DNS-Einträge, URLs zu rekonstruieren und sensible Daten einzusehen, darunter Finanzberichte und Notizen zu Vorstellungsgesprächen.

Was passiert ist

Das Sicherheitsunternehmen Claroc veröffentlichte diese Woche einen Bericht, der detailliert beschreibt, wie sie mehr als 6.800 Links zu Muse-Konversationen durch das Scannen öffentlicher DNS-Einträge lokalisierten. Diese Einträge fungieren als Verzeichnis für den Web-Traffic und ordnen Domainnamen IP-Adressen zu. Da Metas Implementierung vorhersagbare Elemente in der URL-Struktur enthielt, konnten Forscher die Links rückgängig machen, ohne direkten Zugriff auf Benutzerkonten oder private Datenbanken zu benötigen. Die offengelegten Konversationen enthielten hochsensible Informationen, wie etwa eine Umsatzprüfung einer Marketingfirma, einen Kreditantrag eines Kleinunternehmers, den vollständigen Personaljahreskalender eines Arbeitsplatzes sowie Vorbereitungsnote für einen Kandidaten, der sich bei einem KI-Labor bewarb.

Als Reaktion auf die Erkenntnisse bestätigte Meta, dass es die Funktion pausiert hat, die Benutzern das Teilen spezifischer Muse-Artefakte ermöglicht. Tracy Clayton, eine Sprecherin von Muse, erklärte, dass die Funktion zwar dazu gedacht war, Seiten mit Personen zu teilen, die den Link besitzen, das Unternehmen den Bericht nun jedoch überprüft, um festzustellen, wie diese Links besser vor Entdeckung geschützt werden können. Dieser Vorfall unterstreicht ein wiederkehrendes Problem in der KI-Branche, bei dem Freigabefunktionen für Plattformen wie OpenAIs ChatGPT, Anthropics Claude und xAIs Grok bereits zuvor dazu geführt haben, dass private Chats in Suchmaschinenergebnissen auftauchten.

Wie es funktioniert

Die Schwachstelle entstand durch die Art und Weise, wie Muse die Webadressen für freigegebene Konversationen konstruierte. Laut Claroc wurde die URL jeder Freigabe aus drei Komponenten aufgebaut: dem Titel der Freigabe, einer kurzen Phrase zur Beschreibung der Konversation und einer zufälligen ID. Während die ID etwas Zufälligkeit bot, machte die Einbeziehung des Titels und der beschreibenden Phrase die URLs teilweise vorhersagbar. Noch kritischer war, dass der Hostname selbst oft den Inhaltstyp verriet, bevor die Seite überhaupt geöffnet wurde.

Da diese Hostnames und zugehörigen Einträge in öffentlichen DNS-Protokollen veröffentlicht wurden, konnten Forscher diese Verzeichnisse abfragen, um aktive Muse-Subdomains zu finden. Durch die Kombination der Hostname-Daten mit der bekannten URL-Struktur konnten sie die vollständigen Links neu erstellen. Diese Methode umging jegliche beabsichtigten Datenschutzkontrollen, da die Links keine Authentifizierung oder zusätzliche Berechtigungen zum Anzeigen erforderten, sobald die korrekte Adresse geraten oder rekonstruiert worden war. Das System verließ sich auf „Sicherheit durch Unklarheit“ (Security by Obscurity) mittels zufälliger IDs, aber die vorhersagbaren Metadaten und die öffentliche Sichtbarkeit der Infrastruktur untergruben diesen Schutz.

Wichtige Details

• Claroc-Forscher identifizierten über 6.800 öffentlich zugängliche Muse-Links über öffentliche DNS-Einträge.
• Zu den offengelegten Daten gehörten Umsatzprüfungen, Kreditanträge, Mitarbeiterkalender und Interviewnotizen.
• Muse-URLs wurden aus einem Titel, einer beschreibenden Phrase und einer zufälligen ID konstruiert.
• Öffentliche DNS-Einträge enthüllten Hostnames, die Forschern halfen, die vollständigen Links zu rekonstruieren.
• Meta hat die Freigabefunktion pausiert, während es den Sicherheitsbericht überprüft.
• Ähnliche Vorfälle traten bereits bei den Freigabefunktionen von ChatGPT, Claude und Grok auf.

Warum das wichtig ist

Für Software-Ingenieure und technische Gründer dient dieser Vorfall als deutliche Warnung, dass die Generierung eindeutiger IDs nicht ausreicht, um freigegebene Ressourcen zu sichern. Wenn Funktionen entwickelt werden, die Benutzern das Teilen von Inhalten über Links ermöglichen, ist es riskant, sich nur auf nicht erratbare Tokens zu verlassen, wenn andere Teile der URL oder die Metadaten der Infrastruktur Informationen preisgeben. Öffentlich sichtbare DNS-Einträge, Serverprotokolle oder sogar clientseitige Hinweise können Angreifern die fehlenden Teile liefern, um gültige Ressourcen aufzuzählen. Dies ist besonders kritisch für KI-Anwendungen, bei denen Benutzer versehentlich sensible Unternehmensdaten in Chat-Schnittstellen einfügen könnten, im Glauben, die standardmäßigen Datenschutzeinstellungen der Plattform seien robust.

Darüber hinaus unterstreicht dies die Bedeutung von Defense-in-Depth-Strategien für freigegebene Assets. Ein sicherer Freigabemechanismus sollte nicht nur kryptografisch starke zufällige Kennungen verwenden, sondern auch Zugriffssteuerungen durchsetzen, wie Ablaufdaten, Passwortschutz oder explizite Benutzerauthentifizierung. Ohne diese Schichten kann jede Leckage der URL-Struktur oder der Metadaten zu einer massenhaften Offenlegung privater Daten führen. Teams, die KI-gestützte Produkte entwickeln, müssen freigegebene Links als standardmäßig öffentlich betrachten, es sei denn, sie sind ausdrücklich mit zusätzlichen Barrieren gesichert, um sicherzustellen, dass der Inhalt auch dann unzugänglich bleibt, wenn ein Link entdeckt wird.

Was Sie tun können

• Überprüfen Sie Ihre Logik zur URL-Generierung, um sicherzustellen, dass keine vorhersagbaren Metadaten wie Titel oder Zeitstempel in öffentlichen Links enthalten sind.
• Implementieren Sie strenge Zugriffssteuerungen für freigegebene Ressourcen, die Authentifizierung oder einmalige Passwörter erfordern, anstatt sich nur auf die Geheimhaltung des Links zu verlassen.
• Überwachen Sie öffentliche DNS-Einträge und Certificate Transparency Logs für Ihre Domains, um unbeabsichtigte Offenlegungen von Subdomains oder Diensten zu erkennen.
• Legen Sie automatische Ablaufzeiten für alle freigegebenen Links fest, um das Zeitfenster der Verwundbarkeit zu begrenzen, falls ein Link durchgesickert ist.
• Schulen Sie Benutzer über die Risiken beim Einfügen sensibler Daten in KI-Tools, auch bei Verwendung interner oder Enterprise-Plattformen.
• Führen Sie regelmäßige Penetrationstests durch, die sich auf Enumerationsangriffe konzentrieren, um zu identifizieren, ob Ressourcen-IDs geraten oder rekonstruiert werden können.