1回のDNSクエリでMeta Museのチャット共有リンク6,800件が判明

たった1回のDNSクエリで、Meta Museの会話共有リンクが数千件も見つかりました。中には、機微な個人情報や企業情報が露出しているものもありました。

サイバーセキュリティ企業Clarocの研究者らは、Metaの新しいAIプラットフォーム「Muse」に、ユーザーの機微な情報が漏えいしかねない欠陥があることを突き止めました。パッシブDNSの記録から、会話の共有リンクを6,800件以上特定しています。 

影響を受けたページをいくつか開いたところ、個人の財務情報や銀行の不正利用アラート、機密性の高い企業レポートを含む会話が見つかりました。いずれもMuseアカウントにサインインしなくても閲覧できる状態でした。

この発見を受け、Metaは問題の調査が終わるまで共有機能を停止しました。Clarocは悪用の形跡は確認していないとしています。ただ、AIとの会話を共有しやすくするための機能が、意図しない相手に機微な情報をさらしかねないことが、今回の調査結果から浮き彫りになりました。

リンクがあれば十分だった

Clarocの共同創業者兼CTOのAsaf Aprozper氏によると、同社は10月8日にMetaのバグ報奨金プログラムへ問題を報告しましたが、返答はありませんでした。Aprozper氏はLinkedInを通じてもMetaへの連絡を試みたと、Ars Technicaは報じています。

Metaは、Museは設計段階からセキュリティを重視して構築したとアピールしてきました。しかし今回の発見により、会話の共有機能がいかに簡単に機微な情報を漏えいさせうるかが明らかになりました。Clarocの研究者らによると、商用のパッシブDNSサービスに対する1回のクエリだけで、6,800件以上の共有リンクを特定でき、そのうち数百件を実際に調べたということです。

Clarocはその仕組みを説明しています。それによると、Museは共有用のWebアドレスを、会話のタイトルとランダムな識別子を組み合わせ、ドメインcf.metaaiusercontent.comの下に生成していました。 

共有された会話のホスト名がDNSで名前解決されると、その問い合わせはパッシブDNSシステムに観測・記録される可能性があります。商用のパッシブDNSデータベースはこうした記録を集約しているため、過去にアクセスされたホスト名が、研究者や他の契約者に発見されてしまうおそれがあります。

ランダムな識別子は、リンクを推測されにくくするためのものでした。ところが、完全なホスト名がパッシブDNSの記録に現れてしまうと、この保護は意味を失います。記録にアクセスできる人であれば、対応するページを見つけて開けるためです。

Clarocは、こうして露出したページを「GhostShares」と呼んでいます。ユーザーがリンクで共有した会話が、そのリンクを知らない第三者にも発見できてしまう状態を指します。 

研究者らが見つけた機微な内容は多岐にわたります。小規模事業者の融資申請書、企業の社内収益レビュー、銀行の不正利用アラート、AI研究機関との機密性の高い面談に向けて候補者が準備したメモなどです。

Clarocは、セキュリティ上の理由から、使用したクエリを公開していません。

AIの会話共有リスクはMuseだけの問題ではない

Metaはその後、Museの共有機能を停止しました。Clarocが再確認したところ、以前は閲覧できた40ページは開けなくなっていたといいます。ただし、それらのホスト名はパッシブDNSの履歴に残ったままです。

共有された会話をめぐっては、ほかのAIプラットフォームでも別の問題が起きています。WIREDは2026年7月、公開共有されたClaudeの会話の一部が、GoogleやBingの検索結果に表示されていたと報じました。Anthropicはrobots.txtでクロールを避けるよう求めていたものの、これらのページにはnoindexディレクティブがなかったとされています。

WIREDによると、共有ページには、検索結果に載せないよう検索エンジンに伝えるnoindexディレクティブがありませんでした。Anthropicはrobots.txtでクローラーにページへのアクセスを控えるよう指示していましたが、それでも防げなかったということです。

OpenAIも2025年7月に、似て非なる問題に直面しました。ユーザーがチャットを検索可能にする設定を選べる実験の最中に、共有されたChatGPTの会話が検索エンジン経由で見つかるようになったのです。OpenAIはその後この機能を撤廃し、ユーザーが意図せずコンテンツを共有してしまう機会が多すぎたと認めています。

技術的な仕組みは異なるものの、これらの事例は共通する問題を示しています。限られた相手に向けた会話が、持ち主の想定をはるかに超えて広くアクセスできる状態になりうるということです。

ユーザーとセキュリティチームが取るべき対策

ユーザーがまず心に留めるべきなのは、機微な個人情報や財務情報、業務情報を含むAIとの会話では、共有リンクを作らないことです。推測しにくそうに見えるリンクでも、自動的に非公開として扱ってはなりません。

どうしても会話を共有する場合は、AIとの会話を機微な記録になりうるものとして扱ってください。特に、財務情報や社内文書、個人の詳細情報、機密性の高い計画が含まれる場合は注意が必要です。 

チャットを共有する前に、内容と、誰がアクセスできるようになるのかを確認しましょう。共有リンクを削除したり機能をオフにしたりしても、すでに別の場所で収集されたコピーや履歴記録までは消えない可能性があります。

AIツールが日常業務に定着するなか、そのセキュリティはプロンプトインジェクション攻撃の低減やアカウント侵害の防止にとどまりません。会話を共有したというだけで、ユーザーが預けた情報が意図しない相手に届くことがないよう、守る範囲を広げる必要があります。

今回のMuseの一件は、AIとの会話を守るには、アカウント侵害やプロンプトインジェクション攻撃を防ぐだけでは足りないことを示しています。ランダムに生成された共有リンクであっても、周辺のシステムがそのリンクを発見可能にしてしまえば、機微な情報が漏れる可能性があります。

関連ニュース: MicrosoftのWindows Server 2026年10月のセキュリティ更新により、一部のオンプレミスExchange環境でメールに障害が発生しています。Webメールにアクセスできない、メッセージの配信が遅れるといった事象が出ています。