10月21日、Digit.inが「Meta pauses Muse AI feature after researchers uncover exposed business secrets」と題した記事を公開した。MetaのAIアシスタント「Muse AI」の会話共有機能に存在したプライバシー上の欠陥により、企業の機密財務資料や融資申請書などが第三者に向けて公開状態になっていたことが明らかになった。CEOへの売上レビュー文書や銀行の不正アラートまで含むこれらの情報は、公開DNS経由で誰でもアクセスできる状態に置かれていた。
Muse AIは、MetaがビジネスユーザーおよびBusiness Suite利用者向けに展開しているAIアシスタントで、会話のURLを生成・共有する機能を備えている。この「共有会話」機能が今回の問題の発端となった。
公開DNSから6,800件超のリンクが特定される
セキュリティ研究チームのClarocは、2025年10月8日にMetaのバグバウンティプログラムを通じてこの脆弱性を報告した。
問題の核心は「共有会話」の仕組みにある。Muse AIでは、ユーザーが意図的に会話を共有すると、MetaのAIサブドメイン上にホスティングされたURLが生成される。Clarocの調査によると、このURLが公開DNSレコードおよびURLスキャンサービス「urlscan.io」に記録・保存されており、第三者が受動的なDNSスキャンを行うだけで発見できる状態だった。
さらに深刻なのは、一部のDNSレコードにランダムな識別子と並んで会話のタイトルが平文で記録されていた点だ。タイトルだけで内容の機密性を推測できるケースも含まれる。
Clarocは無関係なDNSレコードを除外したうえで、共有会話に関連するホスト名を6,800件以上特定した。ただし実際に内容を検査したのは数百ページにとどまり、6,800件すべてが機密情報を含んでいたとは確認されていない。
実際に見つかったもの
研究チームが確認した具体的な内容は以下のとおりだ。
- あるマーケティング会社のCEO向けに作成された売上レビュー文書
- 中小企業の融資申請書
- 不動産投資家の財務レポート
- 口座の一部情報を含む銀行の不正アラート
- スタッフの休暇カレンダー
- AIラボの幹部採用に関する機密準備資料
研究チームは、漏洩した情報が実際に悪用された証拠は見つからなかったとしており、関係する個人・企業の特定につながる情報は公開していない。
robots.txtは無効、URLを「共有」する行為のリスク
Clarocは、Muse AIが提供するrobots.txtのクローラー制限がURLへのアクセス自体は防がず、受動的DNSサービスによるホスト名の記録も止められないと指摘している。
robots.txtはWebクローラーに対してアクセスを「要請」するものに過ぎず、DNSレベルでのホスト名記録を制御する仕組みではない。ユーザーが意図的にチャットを共有した場合でも、生成されたリンクや関連するメタデータが第三者サービスに記録されるリスクは広く認識されていない。AIアシスタントの「共有」機能は利便性が高い反面、こうした副作用を持つ。
Metaの対応と現状
報告を受けてMetaは会話共有機能を一時停止した。Clarocが事後に40件のリンクを再確認したところ、いずれも開かず、コンテンツホスティングのアドレスもエラーを返した。ただし、過去のDNSレコードには依然としてホスト名とタイトルが残存している。
Metaは漏洩の全規模を公式には認めていない。
なお、Metaはバグバウンティプログラムを通じてセキュリティ研究者からの脆弱性報告を受け付けており、今回のClarocによる報告もこのチャネル経由で行われた。プログラムの詳細や過去の報告事例はMeta公式のSecurity Researchページでも確認できる。
AIアシスタントの「共有」機能は今後も広がる機能の一つだが、今回のケースはその実装がDNSの挙動や外部スキャンサービスとどう交差するかを見落とすと、意図せずプライベートな情報が可視化されることを示している。業務上の機密情報をAIアシスタントに入力する際は、共有機能の動作仕様を事前に確認することが望ましい。
詳細はMeta pauses Muse AI feature after researchers uncover exposed business secretsを参照していただきたい。
