Meta hat die Funktion zum Erstellen öffentlicher Links für Dialoge in seinem KI-Agenten Muse vorübergehend deaktiviert, nachdem Cybersicherheitsexperten von Claroc ein massives Leck privater Nutzergespräche entdeckt hatten. Forschern zufolge konnten Unbefugte fremde Chats finden und lesen, die nie für die öffentliche Ansicht bestimmt waren. Für das Sammeln der anfälligen Links waren keine komplexen Hackerangriffe erforderlich – eine einzige Basisabfrage reichte aus, um 6,800 Links zu Muse-Chats aufzuspüren und zu sammeln, die von Nutzern zum Informationsaustausch erstellt wurden.

Architekturfehler: Chat-Name in der Subdomain

Die Wurzel des Problems liegt in der URL-Architektur, die von den Meta-Entwicklern in den Muse-Dienst integriert wurde. Im Gegensatz zum Standardansatz, bei dem Dienste Links mit einer zufälligen, langen Zeichenfolge generieren, die praktisch unmöglich zu erraten ist, war im Fall von Muse der Chat-Name direkt in die Subdomain der Adresse eingebettet. Beispiele für solche Links sehen aus wie home-sale-budget-9f21c8a3.cf.metaaiusercontent.com oder q3-revenue-review-7b1e42f0.cf.metaaiuser. Wenn ein Empfänger einen solchen Link öffnete, wurde die Subdomain-Information sofort in öffentlichen passiven DNS-Datenbanken (pDNS) aufgezeichnet und wurde für jeden zugänglich, der weiß, wie man diese abfragt. Forscher nannten dieses Phänomen GhostShares – Seiten, die sich für Personen öffnen, denen die Links nie geschickt wurden.

Was genau durchsickerte: Von Bankkonten bis zu Urlaubskalendern

Bei einer Stichprobe von mehreren Hundert offenen Seiten dokumentierte Claroc eine breite Palette sensibler Daten. Darunter befanden sich HR-Notizen eines Kandidaten zur Vorbereitung auf ein vertrauliches Vorstellungsgespräch für eine Führungsposition in einem fortschrittlichen KI-Labor, in denen der Name des internen Kontakts und die Treffzeit angegeben waren. Auch ein interner Finanzumsatzbericht eines nationalen Marketingunternehmens mit einer Notiz für den Geschäftsführer wurde öffentlich. Besorgnis erregten vor allem Bankdaten: der Kreditantrag eines Kleinunternehmers mit Angabe eines konkreten Betrags sowie eine Aufgabenliste mit Betrugswarnungen der Bank, einschließlich teilweiser Kontonummern, Beträge und Transaktionszeiten. Darüber hinaus fanden die Forscher einen internen Bericht eines Maklers mit zwei genauen Immobilienadressen, Rendite-, Einkommens- und Hypothekendaten sowie den vollständigen Urlaubsplan von Firmenmitarbeitern, in dem die Abwesenheitszeiten Dutzender Mitarbeiter namentlich aufgeführt waren.

Chronologie: Von Bug Bounty bis zur Reaktion von Meta

Claroc-Experten meldeten das Problem bereits am 8. Oktober 2026 über das Bug-Bounty-Programm, erhielten jedoch lange Zeit keine Antwort von Meta. Erst nachdem sich Journalisten mit einer Anfrage an das Unternehmen gewandt hatten, kündigte Meta einen vorübergehenden Stopp der Link-Sharing-Funktion an. In einer offiziellen Stellungnahme betonten Vertreter des Tech-Giganten: „Wir haben das Bug-Bounty-Programm für Muse geöffnet, damit Forscher verschiedene Szenarien aufdecken und uns helfen, das Produkt zu verbessern. Nutzer können bestimmte Muse-Materialien teilen. Wir haben die Funktionalität jedoch pausiert, während wir den Bericht prüfen und Änderungen bezüglich der Erkennbarkeit dieser Links in Betracht ziehen.“ Zum Zeitpunkt der Veröffentlichung ist das Erstellen neuer öffentlicher Links in Muse vollständig gesperrt.

Zweiter Vorfall innerhalb eines Monats und das Privatsphären-Paradoxon

Das aktuelle Leck ist bereits der zweite schwere Sicherheitsvorfall der Muse-Anwendung innerhalb kurzer Zeit. Erst drei Wochen zuvor war in der KI-App eine Zero-Day-Schwachstelle entdeckt worden, die es Programmen Dritter ermöglichte, die Kontrolle über ein Nutzerkonto zu übernehmen. Das Paradoxon der Situation wird dadurch verschärft, dass Meta-CEO Mark Zuckerberg noch vor einem Monat öffentlich erklärte, Muse sei „von Grund auf mit Fokus auf Privatsphäre und Sicherheit entwickelt worden“. Gleichzeitig verlangt der Assistent selbst tiefen Zugriff auf die persönlichen Konten der Nutzer, um Aktionen auszuführen – wie das Ausfüllen von Formularen, Buchungen und Zahlungen –, was die Folgen solcher Lecks für Endnutzer besonders sensibel macht.