Metaは、AIエージェント「Muse」で会話をリンク共有する機能を停止しました。Clarocの調査チームは、受動DNSの記録から共有リンクを6,800件超見つけ、個人情報や社内文書を含む会話を確認しました。
共有リンクのタイトルから会話内容を推測できる構造
Museは、共有する会話ごとにページを作り、リンクを知っている人が開ける形で提供していました。リンクのホスト名には会話のタイトルとランダムな識別子が含まれ、共有リンクには「cf.metaaiusercontent.com」というドメインが使われていました。
受動DNSは、ドメイン名がIPアドレスに変換された記録を収集し、後から検索できるようにする仕組みです。Museの共有ページを開くと、そのホスト名が記録されます。タイトルがホスト名に含まれるため、会話の題名と識別子を手掛かりにリンクを探せる状態でした。
この仕組みでは、会話のタイトルがURLの「/」より後ろのパスではなく、DNSで扱われるホスト名に置かれています。そのため、受動DNSの記録からタイトルを含むホスト名を検索できます。URLパスにタイトルがある場合とは異なり、DNSで参照される名前そのものに、会話の内容を推測できる語句が現れる構造です。
調査で見つかった個人情報と社内文書
Clarocの調査チームは、商用の受動DNSサービスでMuseの共有リンクを検索し、6,800件を超えるホスト名を列挙しました。そのうち数百件を開いて調べ、公開を意図していないとみられる情報を含む会話を確認しました。
確認された内容には、AI研究所との機密性の高い採用面談に向けた候補者のメモ、経営者向けの社内収益レビュー、小規模事業者の融資申請がありました。銀行の不正利用警告と口座番号の一部を含むメモや、不動産投資の報告書も見つかっています。
従業員数十人の休暇予定を記した職場の年間カレンダーも確認されました。Clarocは、ホスト名の一覧から多くの共有ページの内容を推測でき、各ページをログインなしで閲覧できたと説明しています。調査ではリンクの推測や総当たりではなく、受動DNSサービスに記録されたホスト名が使われました。
Metaが共有機能を停止
Metaは、Museの共有機能を一時停止し、報告内容を調査したうえでリンクの発見されやすさを変更するか検討するとしました。Clarocの調査チームは、10月20日に以前開けた共有リンク40件を再確認し、いずれも開けず、配信先のホスト名もエラーを返したと報告しました。
一方、会話タイトルを含むホスト名は受動DNSの履歴に残っていました。Clarocは、Museの共有ページを見つけやすくする要因として、共有リンクのホスト名にタイトルを含める設計を挙げています。
Museは、フォーム入力や予約、購入、文書作成などを自律的に行うAIエージェントです。こうした作業には利用者の複数のアカウントへのアクセスが必要とされ、Metaは製品の信頼性を訴えてきました。
リンク共有とDNS記録の関係
DNSは、ウェブサイトのホスト名を接続先のIPアドレスへ対応づけます。受動DNSの事業者は、観測した名前解決の結果を記録し、検索可能なデータベースに蓄積します。Museの共有リンクでは、ページを開く際にタイトル入りのホスト名が名前解決され、その文字列が記録対象になりました。
Museは、ホスト名に会話タイトルとランダムな識別子を組み合わせていました。識別子が推測しにくい長さでも、ホスト名全体が一度DNSで観測されれば、受動DNSの検索対象になります。このため、識別子を秘密にしてリンクを保護する設計でも、ホスト名が記録されるとリンクを見つけられる可能性があります。
