A Meta suspendeu temporariamente o compartilhamento de conversas do Muse, seu agente de inteligência artificial, depois que pesquisadores encontraram uma forma de localizar links criados por usuários sem recebê-los diretamente. A Claroc, empresa de segurança que descobriu o problema, encontrou 6.800 endereços com uma única consulta a serviços de DNS passivo, que guardam registros de acessos a domínios.
Ao analisar uma amostra, a equipe encontrou documentos financeiros internos, pedidos de empréstimo, relatórios imobiliários com endereços e valores de hipotecas, alertas de fraude bancária com números parciais de contas e calendários de férias de funcionários. A Claroc chamou a falha de GhostShares.
Como os links eram encontrados
O Muse inseria o título de cada conversa no subdomínio do endereço de compartilhamento. Por exemplo, um título como “home sale budget” podia aparecer antes do domínio principal. Como consultas a esses subdomínios ficam registradas em bancos de dados públicos de DNS, terceiros podiam pesquisar os registros e encontrar links sem terem recebido os endereços originais.
O cofundador e diretor de tecnologia da Claroc, Asaf Aprozper, disse que comunicou a falha à Meta pelo programa de recompensa por bugs em 8 de outubro de 2026. Segundo ele, também tentou contato pelo LinkedIn, sem resposta antes de a imprensa procurar a empresa. A Meta confirmou que suspendeu o recurso enquanto investiga e corrige o problema.
Um segundo alerta de segurança
O Muse já havia enfrentado outro problema: cerca de três semanas após seu lançamento, o pesquisador Patrick Wardle encontrou uma falha que poderia permitir que outro aplicativo instalado no mesmo aparelho assumisse o controle da conta do agente. A Meta argumentou na ocasião que a exploração exigia que o dispositivo já estivesse comprometido.
O Muse pode preencher formulários, marcar compromissos, fazer compras e criar documentos. Essas funções podem exigir acesso a contas pessoais. A Meta não informou quantas pessoas tiveram links localizados nem se alguém além dos pesquisadores acessou os conteúdos.
Por que importa
Para quem usou o Muse para compartilhar conversas ou documentos, o caso mostra que um link que parece difícil de adivinhar ainda pode ser localizado por registros públicos de DNS. A Meta suspendeu o recurso, mas não informou quantos usuários foram afetados nem se terceiros acessaram os conteúdos; também não detalhou quando o compartilhamento voltará.
