Meta reactiva Muse tras filtrar 6.800 enlaces compartidos

Meta reactiva Muse con URLs nuevas tras la filtración de 6.800 enlaces

Meta volvió a habilitar el uso compartido de Muse después de que investigadores de seguridad reportaran que los enlaces públicos de conversaciones eran fáciles de encontrar. La compañía confirmó la reactivación el mismo día en que David Singleton, de Meta, publicó en X que "el problema de fondo ya está resuelto y el uso compartido volvió a estar activo".

Para un founder que ya usa agentes de IA para tareas internas, esto no es un detalle técnico. Es la confirmación de que un enlace generado por una herramienta de IA puede dejar a la vista documentos de negocio sin que nadie los haya filtrado a propósito.

Según Singleton, el fallo estaba en las URLs de los artifacts compartidos de Muse —documentos e imágenes dentro del agente— y no en el uso compartido de chats. "Si compartiste un artifact antes del arreglo, ahora tiene una URL nueva", explicó. Quien visite el enlace viejo verá un aviso pidiéndole que se lo solicite de nuevo al autor.

¿Qué encontró Claroc y por qué lo llamó "GhostShares"?

La firma de seguridad Claroc reportó el problema al programa de bug bounty de Meta el 8 de octubre de 2026 y publicó su investigación el 18 de octubre, según el medio especializado Unite.AI. El hallazgo central: Muse construía la dirección web de cada conversación compartida usando el título de la conversación más un identificador aleatorio, bajo el dominio cf.metaaiusercontent.com.

Claroc buscó ese dominio en un servicio comercial de DNS pasivo y, tras filtrar el ruido de escaneos automáticos, encontró más de 6.800 hostnames de Muse listados por título, según su propia investigación. La firma abrió solo unos cientos de páginas y describió seis casos sensibles sin revelar nombres ni enlaces:

• Notas de un candidato preparando una llamada confidencial de búsqueda de ejecutivos con un laboratorio de IA, con el nombre del contacto interno y la hora de la reunión.
• La revisión interna de ingresos de una empresa de marketing, marcada para su CEO.
• La solicitud de préstamo de un pequeño empresario, con el monto solicitado.
• Una lista de tareas con una alerta de fraude bancario, número de cuenta parcial y monto de la transacción.
• El informe de rendimiento de un inversor inmobiliario, con direcciones, cifras de hipoteca e ingresos.
• El calendario anual de vacaciones de una oficina, con decenas de empleados y sus semanas de ausencia.

Claroc dijo que accedió a cada página sin que nadie le entregara el enlace, sin cuenta, sin formulario y sin iniciar sesión. También señaló que urlscan.io, un servicio público de escaneo de URLs, ya tenía más de 75 escaneos guardados de páginas de Muse.

¿Por qué el DNS público convirtió un enlace "privado" en un índice?

La debilidad no estaba en el identificador aleatorio, sino en dónde Meta puso el título de la conversación. Al abrir un enlace compartido, el navegador resuelve el hostname mediante DNS, y los proveedores de DNS pasivo registran esa consulta y la dejan consultable. El título que el usuario escribió terminaba, literalmente, en un índice público de nombres de dominio.

Claroc lo describió con una imagen precisa: "Una búsqueda en DNS pasivo devuelve miles de ellos, listados por nombre, como un índice de contenidos". No hacía falta adivinar el identificador aleatorio.

El robots.txt de Muse pide a los crawlers de buscadores y de IA que no entren a las rutas de uso compartido, pero Claroc aclaró que ese archivo regula el rastreo, no el acceso, y que su descubrimiento nunca pasó por un buscador.

El antecedente importa: Claroc recordó que en 2025 conversaciones compartidas de ChatGPT aparecieron en resultados de Google y OpenAI eliminó la opción que las hacía indexables, y que Google llegó a indexar más de 370.000 conversaciones de Grok.

¿Cómo respondió Meta?

Meta suspendió la función el 20 de octubre de 2026, después de que Ars Technica la contactara por los hallazgos, según reportó ese medio. La portavoz Tracy Clayton declaró a The Verge que la compañía pausó la funcionalidad mientras revisaba el reporte y evaluaba cambios en la forma en que se pueden descubrir los enlaces.

Cuando Claroc volvió a probar 40 enlaces que antes abrían sin cuenta, ninguno respondió. Pero los hostnames con los títulos ya estaban en registros de DNS pasivo de terceros, fuera del alcance de Meta. Claroc dijo no tener evidencia de que alguien haya usado los enlaces con fines maliciosos antes de su reporte.

El contexto de escala explica por qué el incidente tuvo tanto ruido. Muse se lanzó el 8 de septiembre de 2026 y superó los 10 millones de descargas en Estados Unidos en sus primeros 40 días, con 10,9 millones a nivel global, según datos de Sensor Tower citados por International Business Times. La agencia AFP reportó que la app llegó a ser la más descargada en Google Play y App Store, por encima de ChatGPT, Claude y Gemini.

¿Qué significa esto para tu startup?

El episodio deja una lección que aplica a cualquier equipo que use agentes de IA: la seguridad de un enlace compartido no depende de que el identificador sea largo, sino de qué información viaja en el nombre del host. Un token aleatorio evita que alguien adivine la URL, pero no evita que la URL quede registrada en infraestructura pública si el título va dentro.

Hay un segundo punto, más incómodo: la documentación de Meta sobre enlaces de conversaciones con IA dice que "las personas con el enlace podrán ver tu conversación" y que el enlace no expira. Claroc señaló que esa página documenta Meta AI y no Muse específicamente, pero la describió como la descripción publicada más cercana al comportamiento de sus enlaces.

Acciones concretas que puedes aplicar esta semana:

• Audita qué compartes por enlace. Antes de enviar un enlace de una conversación de IA, pregúntate si el título de esa conversación revela algo —un cliente, una ronda, un despido—. Si la respuesta es sí, no lo compartas por link: pega el contenido relevante en un documento controlado.
• Prohíbe datos sensibles en prompts de agentes. Números de cuenta, montos de préstamos, datos de empleados y contratos no deberían pasar por un agente que genera enlaces compartibles. Define una lista corta de categorías prohibidas y comunícala al equipo.
• Revisa tus enlaces ya compartidos. Si tu equipo usó Muse para compartir artifacts antes del arreglo, esas URLs cambiaron. Los enlaces viejos ya no funcionan, pero los hostnames con títulos pueden seguir en registros de DNS pasivo de terceros que Meta no controla.
• Trata el enlace como el documento. La regla práctica: si no lo publicarías en un canal abierto, no lo compartas por enlace, ni siquiera con un colega.

El caso también deja una pregunta abierta para los equipos de producto: si construyes una función de compartir, no pongas contenido descriptivo en el hostname. Un identificador opaco en el path y el título solo del lado del servidor eliminan esta clase de fuga de raíz.

Fuentes

• The Verge (fuente original)
• Unite.AI
• Gadget Review
• International Business Times
• Malay Mail (AFP)