資安公司 Claroc 公開研究指，Meta 個人人工智能智能體 Muse 的「分享對話」功能會把對話發布成無需登入即可開啟的網頁，且因分享網址把對話標題放進子網域，可透過被動 DNS（passive DNS）一次查出逾六千八百個分享主機名；抽樣開啟後可見內部營收檢討、貸款申請、銀行詐騙提示與行政搜尋面試準備等敏感內容。Ars Technica 於二〇二六年十月二十日報道後，Meta 回覆已暫停該分享功能並檢討連結可被發現的方式。來源真實性已驗證，以 Claroc 研究原文與 Ars Technica 引述的 Meta 電郵聲明為準。

Meta／資安：Muse 對話分享鏈結可被被動 DNS 枚舉——Claroc 揭逾六千八百個 GhostShares；Meta 暫停分享功能

Muse 自二〇二六年九月八日上線以來，主打可代填表格、預約、購物與跨帳戶操作的個人代理能力，亦因此需要用戶授予極高權限。此次事件的核心並非「外人破解登入」，而是官方設計的公開分享鏈結，在 DNS 紀錄層面變成可搜尋目錄——Claroc 稱之為 GhostShares：從未獲發連結的人，仍可自行找到並開啟頁面。

一、核心事件：枚舉規模、敏感抽樣與 Meta 暫停

Claroc 已公布的事實

根據 Claroc 於二〇二六年十月十八日發表、十月二十日更新的研究〈GhostShares〉：

• 機制：用戶要求 Muse「分享對話」後，系統會發布任何人持有連結即可開啟的頁面（無需登入）；這是產品設計，而非外加漏洞利用鏈。
• 可發現性：分享主機名建基於對話標題與隨機識別碼，並掛在內容網域 cf.metaaiusercontent.com 之下。標題落在子網域，會被被動 DNS 感測器記錄並變成可搜尋索引；Claroc 指「一次查詢」即可取得清單。
• 規模：對該內容網域過濾掃描雜訊後，餘下逾 六千八百 個分享主機名；團隊只開啟其中數百個抽樣，其餘未開。
• 其他公開痕跡：公眾 URL 掃描服務 urlscan.io 上已有逾 七十五 筆 Muse 分享頁掃描紀錄。
• 敏感抽樣（僅分類描述，無識別資訊）：包括前沿人工智能實驗室行政搜尋面談準備（含內部聯絡人與會面時間）、全國性營銷公司標明予行政總裁的內部營收檢討、小企業貸款申請（含申請金額）、載有銀行詐騙提示與部分帳戶／交易資訊的待辦清單、房地產投資表現報告（含物業地址與回報／按揭數字），以及列出數十名員工全年休假週次的公司日曆。
• 披露：Claroc 於十月八日經 Meta 漏洞賞金計劃提交重現步驟與示例；十月七至八日完成內容檢視。團隊聲明沒有證據顯示這些分享已被惡意濫用。
• 十月二十日覆核：在 Meta 暫停功能後，Claroc 重試先前可開啟的四十個分享，全部無法再開，伺服主機名回傳錯誤；但被動 DNS 歷史中仍保留主機名與標題。

Ars Technica 與 Meta 回應

Ars Technica 保安編輯 Dan Goodin 於十月二十日報道同一研究，並引述 Meta 電郵聲明大意：公司開設 Muse 漏洞賞金計劃供研究員提出不同情境；用戶可分享特定 Muse 產物並產生持連結者可存取的頁面；惟 Meta 已暫停此功能，以便檢討報告並考慮如何改變這些連結的可被發現方式。Claroc 共同創辦人兼技術長 Asaf Aprozper 表示，十月八日提交後亦曾嘗試透過 LinkedIn 聯絡 Meta 相關人士，但兩邊均未獲回覆，直至媒體查詢後才見產品層面暫停。

Ars 亦指出：把對話標題放進子網域（而非僅放在路徑）是令公開發現變得容易的關鍵設計決定；隨機識別碼本身足夠長而難以「猜中」，但一旦有人開啟分享，完整主機名（含識別碼）就會進入可搜尋的 DNS 歷史——「不可猜測」並不等於「不可搜尋」。

二、技術原理：為何 robots.txt 擋不住 GhostShares

這類外洩並非 Muse 獨有。Claroc 回顧二〇二五年共享 ChatGPT 對話曾出現在搜尋結果、以及大量 Grok 對話被索引的先例；業界其後普遍以禁止搜尋引擎爬取作為緩解。Muse 的 robots.txt 亦要求搜尋與人工智能爬蟲避開分享路徑——但 robots.txt 管的是爬取，不是存取，而 Claroc 的發現路徑根本不經過搜尋引擎。

真正把「只有收到連結的人」變成「任何會查被動 DNS 的人」的，是三個疊加條件：

1. 分享即公開頁：產品只提供連結分享，頁面預設對持連結者開放、不要求登入或存取申請。
2. 標題進子網域：主機名可讀，等於給被動 DNS 一份「目錄標題」；抽樣前往往已能從名稱判斷內容敏感度。
3. DNS 副作用：對方（或任何人）第一次解析該主機名時，感測器就會把完整名稱寫進商業被動 DNS 資料集。隨機識別碼隨標題一併曝光，秘密不再是秘密。

因此，企業若只在「應用程式設定／權限畫面」做影子人工智能審查，很容易漏掉這類風險：每一次分享都是員工主動觸發的、符合產品說明的操作，但可發現性寫在 URL／DNS 層，不在開關選項裡。

三、日常應用場景

1. 開發者與技術團隊

若產品或內部工具提供「產生公開分享連結」，應假設連結終會進入日誌、票務系統、聊天紀錄與 DNS／URL 掃描資料集。避免把業務可讀的標題或客戶名稱編進子網域；優先考慮需登入、短時效、一次性質權杖或企業租戶內分享。對已發出的分享，要有撤銷與批量失效能力，並在設計評審把「被動 DNS／公開掃描器可發現性」列為威脅模型項目。

2. 企業與關鍵基礎設施

把 Muse 這類可連電郵、日曆、檔案與付款的個人代理，視為高權限影子軟件：先盤點誰在用 muse.ai 與相關內容網域，禁止把未公開財務、人事、客戶與併購資料貼進可分享對話。若保安堆疊看不到人工智能「建立公開分享」事件，應在託管裝置的代理或 DNS 過濾層考慮暫時封鎖相關網域，直到有可審計的管控。Claroc 建議把「人工智能分享連結」視作一次對外傳輸，並對建立公開分享的行為告警。

3. 一般用戶

分享前假設頁面可能被陌生人打開。勿把銀行提示、身份證、合約草稿、面試機密與同事名冊放進可分享對話；暫停期間亦應檢查自己是否曾建立分享、並改用企業核准的協作工具傳敏感內容。釣魚者可能利用外洩的面談時間或內部聯絡人資訊進行精準詐騙——收到「臨時改會議室／請先轉帳核身」類訊息時應經第二渠道核實。

4. 香港與亞洲市場視角

香港金融、專業服務與初創同樣快速試用境外代理應用，但本地對客戶資料、持牌業務與跨境傳輸的合規要求並不寬鬆。員工用個人裝置安裝 Muse、再把公司營收或貸款材料「分享給同事」，足以構成難以事後追蹤的資料外洩。董事會與資訊保安負責人應把「代理應用分享連結」寫進可接受使用政策，並評估是否改以資料留港的私有模型與受控工具鏈處理敏感工作流。

四、專業評價與潛在考量

值得肯定

• Claroc 以負責任披露與分類描述呈現敏感例子，並在暫停後覆核存取已關閉。
• Meta 在媒體查詢後公開暫停功能，短期內切斷這條發現路徑的「即開即看」。
• 研究清楚區分「設計使然的公開分享」與「需入侵帳戶的零日」，有助企業修正威脅假設。

需要留意

• 被動 DNS 歷史仍可能保留舊主機名與標題，資訊外洩的「目錄痕跡」不會因暫停而自動消失。
• 暫停屬產品層緩解；永久方案（例如改 URL 結構、強制登入、到期與企業管控）細節尚未由 Meta 完整公布。
• 此研究只覆蓋單一內容網域與一段時間窗口，不能推論 Muse 的全部暴露面。
• 高權限代理一旦可讀郵件與文件，即使分享功能關閉，貼上敏感內容本身仍有提示詞外洩、供應商日誌與裝置端風險——需與帳戶接管、過度授權等舊議題一併治理。

結語

對香港企業而言，GhostShares 提醒的是：人工智能智能體的「分享」往往等於「發布」，而 DNS 會把以為只有同事看得到的標題變成可搜尋目錄。建議立即盤點 Muse 及其他代理應用的使用情況，禁止敏感資料進入可公開分享的對話，並在恢復分享功能前要求供應商說明可發現性與撤銷機制。若需要把影子人工智能治理、雲端存取控制與網絡安全監控一併落地，可參考 YSK 的香港雲端遷移與網絡安全服務，按實際環境評估封鎖、偵測與長期架構。

參考來源

1. Claroc — GhostShares: A Shared Muse Chat Exposed Prep for a Confidential Call With a Frontier AI Lab Leader（2026-10-18，更新 2026-10-20）：https://blog.claroc.io/ghostshares-muse-passive-dns/
2. Ars Technica — Meta Muse exposes users' personal and business secrets when they share conversations（Dan Goodin，2026-10-20）：https://arstechnica.com/security/2026/10/meta-muse-exposes-users-personal-and-business-secrets-when-they-share-conversations/