MetaのAI「Muse」、共有した会話6800件が目次のように並んでいた

セキュリティ会社のClarocが、MetaのAI「Muse」で共有された会話のページを6,800件以上見つけた。ログインなしで、誰でも開けた。しかも、、、中を開く前から、何の相談かが分かる状態だった。

理由は、アドレスの作り方だ。Museの共有ページは、会話のタイトルをそのままアドレスの先頭に入れていた。Clarocが例に挙げたのは「home-sale-budget-9f21c8a3.cf.metaaiusercontent.com」。先頭の「home-sale-budget」が会話のタイトルで、家の売却予算の話だと読める。後ろの8文字はランダムで、ここが他人に見つからないための鍵のはずだった。

なぜ、他人が見つけられるのか。パッシブDNSという仕組みがある。アドレスは、使われた時点で記録に残る。Clarocはそれを検索して、Metaのドメインにぶら下がる名前を集めた。機械的なノイズを省いたあと、6,800件以上が残った。Clarocは、その一覧を「目次のよう」（原文は英語）と書いている。鍵も名札も、同じ目次に印刷されていた。

中身は、笑えなかった

Clarocが数百件を開いたところ、CEO向けの社内の売上レビュー、中小企業の経営者による融資の申し込み、口座番号の一部が入った銀行の不正利用の通知、職場の1年分の休暇カレンダーが出てきた。最先端のAI研究所の幹部と、非公開で話すための準備メモもあった。

「AIに大事な話をする方が悪い」という見方はある。ただ、ここがややこしい。これは不正アクセスではない。Museの共有は、もともと「リンクを知っている人なら誰でも見られる」設計だ。共有した人は、公式のボタンをひとつ押しただけだった。Clarocは、このページを「GhostShares」と名づけた。リンクを渡されていない人にも開いていて、その人が自分で見つけられるページ、という意味だ。

Clarocは10月8日、Metaの脆弱性報告プログラムで報告した。Metaは10月20日に共有機能を止め、「この報告を確認し、これらのリンクがどう見つかるかについて変更を検討する間、この機能を一時停止した」（英語の声明の訳）と説明した。Clarocが同じ日に40件を開き直したところ、1件も開けなかった。悪用された形跡はない、ともClarocは書いている。

では、共有した本人たちは、これを知っているのか。Metaが一人ひとりに知らせたかどうかは、出典では確かめられなかった。

ページは閉じた。でも、何を相談したかを示すタイトルだけは、過去のDNSの記録に残ったままだ。