Meta の AI「Muse」の会話共有: 共有URLの題名が DNS に残り第三者が発見できた問題。共有機能は停止中

• Meta の AI エージェント「Muse」の会話共有機能は、2026年10月20日時点で停止しています。Meta は Ars Technica の問い合わせに次のように回答しました（英語原文の引用）。「People have the ability to share specific Muse artifacts, which creates a page that can be accessed by those with the link. However, we've paused this functionality while we review this report and consider changes to how these links can be discovered.」（利用者は Muse の成果物を共有でき、そのページはリンクを持つ人からアクセスできる。ただし本報告を検証し、リンクが発見される仕組みの変更を検討する間、この機能を停止している）Ars Technica
• 発見された共有URLは 6,800件以上。セキュリティ企業 Claroc が商用のパッシブDNSサービスに対して検索を1回行い、Muse の共有ページ用ドメイン `cf.metaaiusercontent.com` の下のホスト名を列挙しました。ワイルドカードDNSの走査ノイズを除いた後の数です。Claroc の調査
• Claroc は数百件の共有ページを実際に開き、その大半は無害だったが一部に機密性の高い内容が含まれていたと説明しています（具体的な企業名・個人名は非公開）。Claroc の調査
• 2026年10月20日、Claroc が「以前はアカウントなしで開けた共有ページ40件」を再確認したところ、すべて開けなくなり、内容を配信していたホスト名もエラーを返しました。ただし題名を含むホスト名そのものはパッシブDNSの履歴に残ったままです。Claroc の調査（更新メモ）
• Claroc は「第三者による情報の悪用を示す証拠は見つかっていない」としています。Claroc の調査
• Muse の公式ブログ・ヘルプページ・ステータスページで、本件を説明する公式の告知は 2026-10-22 時点で確認できません（Meta の説明は報道機関への回答という形です）。

• Muse は会話を共有すると、その内容をリンクを知っている人が誰でも開けるページとして公開します。ログインもアクセス要求も不要で、これは設計どおりの動作です（Muse はリンク共有しか方法がないため、公開ページが唯一の受け渡し手段になります）。Claroc の調査
• 問題はURLの作り方にありました。共有ページのアドレスは `<会話の題名>-<ランダムID>.cf.metaaiusercontent.com` という形で、会話の題名がサブドメインに入っています。例として Claroc が示したのは `home-sale-budget-9f21c8a3.cf.metaaiusercontent.com` です（例示用の作り物）。
• サブドメインは、誰かがリンクを開いた時点でパッシブDNS（DNSの問い合わせ履歴を収集・検索できるサービス）に記録されることがあります。記録されるのは題名とランダムIDを含むホスト名全体なので、ランダムIDという「推測できないこと」を前提にした保護が成立しません。推測する必要がなく、履歴を検索すれば見つかるためです。Claroc の調査
• 同じ露出はDNS以外にもあります。公開のURLスキャンサービス urlscan.io には、Muse の共有ページのスキャンが75件以上保存されていると Claroc は指摘しています。Claroc の調査
• Muse は共有ページのパスについて `robots.txt` で検索エンジンやAIクローラーに巡回しないよう求めていました。ただし `robots.txt` は「巡回」を制御するもので「アクセス」は制御しません。Claroc の発見は検索エンジンを経由していません。Claroc の調査

何が露出していたか（種類のみ・個人名は扱わない）

Claroc が実際に開いた数百件のうち、問題があると判断した例は次の6種類です。いずれも個人名・企業名は非公開で、当サイトでは扱いません。Claroc の調査、Ars Technica

• 最先端AI研究所の幹部との非公開の面談準備資料（相手側の担当者名と面談時刻を含む）
• 全国規模のマーケティング会社の社内売上レビュー（CEO 宛の表示）
• 中小企業の融資申請書（希望額を含む）
• 銀行の不正取引アラートを含むToDo（口座番号の一部、取引額と時刻）
• 不動産投資家の社内実績レポート（2件の物件住所、利回り・収入・ローンの数値）
• 職場の年間休暇カレンダー（数十人の氏名と休暇週）

Claroc は「大半は無害だった」としたうえで、こうした一覧は詐欺・なりすまし・ソーシャルエンジニアリングの下準備として使いやすいと指摘しています。Claroc の調査

• URLは秘密にできない場所に複製される。 リンクを開くにはDNSの名前解決が必要で、その記録は外部のリゾルバやパッシブDNS事業者に残ります。設計者はURLを「持っている人だけが使える鍵」のつもりでも、URLはアクセスされるたびに第三者に観測されます。
• ランダムIDの長さは保護になりません。 推測が不要で、履歴を検索すれば見つかるためです。Claroc の表現では「推測は最初から論点ではなかった」。Claroc の調査
• `robots.txt` は露出を防がない。 検索エンジンに載せないための設定であり、URLを知った者が直接アクセスすることは防げません。今回の経路は検索エンジンを使っていません。
• 題名そのものが情報になる。 開かなくても、一覧の題名から中身を推測できます。Claroc は「ページを開く前に題名で内容が分かった」と述べています。

同種の事例（2025年）

• 2025年、共有した ChatGPT の会話が Google の検索結果に出た問題があり、OpenAI は索引され得る設定を撤去しました。Search Engine Journal
• 同2025年、Grok の会話が37万件以上 Google に索引されていたと報じられました。9to5Mac

AIの「共有リンク」が公開URLであるという性質は、Muse に限った問題ではありません。

• 共有リンクは公開URLとして扱う。 リンクを知っている人は誰でも開けます（ログインなし）。Muse の機能は停止中ですが、再開後に同じ前提が変わるとは限りません。
• 題名に機密を書かない。 今回の発見は、題名がアドレスに入っていたことで成立しました。会話のタイトルに人名・案件名・取引先名を入れないことを、共有の有無にかかわらず推奨します。
• すでに共有した会話を確認する。 Meta のヘルプは「共有リンクの削除」手順を案内しています。機密を含む会話を共有した可能性がある場合は、削除とあわせて相手に届いたリンクの扱いも確認してください。Claroc の調査
• 組織では「共有リンクを作る操作」自体を見直す。 従業員がチャットから1クリックで公開ページを作れる状態は、見落としの温床になります。Claroc は、こうした共有が作られた時点で検知する仕組みを自社製品で提供しているとしています（同社は本件の報告元であると同時に、この分野の製品ベンダーです）。

• 共有機能の再開時期と、設計の変更内容。 題名をURLから外したか、リンクに有効期限を設けたか、アクセス制御を変えたか。Meta は「リンクが発見される仕組みの変更を検討する」と述べており、具体的な内容は未公表です。
• Meta の公式説明の有無。 現時点の説明は報道機関への回答のみで、公式ブログ・ヘルプページ・ステータスページでの告知は確認できません。
• 露出した情報の悪用の有無。 Claroc は証拠なしとしていますが、これは「確認されていない」という意味です。続報の有無を見ます。
• パッシブDNSに残った題名の扱い。 共有ページを閉じても、ホスト名（題名つき）は履歴に残ると Claroc は述べています。履歴の削除は各事業者の対応で、Meta が制御できる範囲ではありません。
• 同種の設計を持つ他サービスへの波及。 2025年の ChatGPT・Grok の事例と同じ類型で、他サービスでも同じ調査が行われるか。
• 脆弱性報奨金プログラムの運用。 10月8日の報告から10月20日の対応までの間に返答がなかったと Claroc が説明している点について、Meta の説明が出るか。