Meta pausó el compartir de Muse tras una sola consulta de DNS
Meta suspendió la función de compartir conversaciones de Muse, su agente de IA personal, después de que la firma de seguridad Claroc demostrara que esas páginas se podían encontrar sin que nadie te pasara el enlace. El detalle que lo hizo posible es de diseño: la dirección de cada conversación compartida se construye con el título del chat, y ese nombre queda registrado en el DNS público.
Para un founder que le da a un agente su correo, su banco y su agenda, la lección es incómoda: la privacidad de un producto no se mide por lo que promete su caja fuerte, sino por lo que se filtra en la infraestructura que nadie audita.
Cómo una URL convirtió títulos privados en un índice público
Muse publica cada conversación compartida como una página que abre cualquiera que tenga el enlace, sin login. Según Claroc, la dirección se arma con el título de la conversación más un identificador aleatorio, servida desde hostnames bajo cf.metaaiusercontent.com, el dominio de contenido desde el que Muse sirve lo compartido.
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 díasCuando alguien abre ese enlace, el navegador resuelve el nombre. Los servicios de DNS pasivo —que guardan el histórico de resoluciones de nombres de dominio— lo registran y lo dejan consultable. El resultado, según los investigadores: «Una búsqueda de DNS pasivo devuelve miles de ellas, listadas por nombre, como un índice de contenidos».
El identificador aleatorio no protege contra esto. «Si nos lo hubieras preguntado antes, habríamos supuesto que reunir esto costaría un esfuerzo real. Costó una consulta», escribieron.
El error concreto es poner el título en el subdominio y no en la ruta de la dirección. Y hay un segundo canal: urlscan.io, un servicio público de análisis de páginas, ya guardaba más de 75 escaneos de conversaciones compartidas de Muse.
Unite.ai precisa que Muse se lanzó el 8 de septiembre de 2026 y que Claroc corrió su búsqueda contra un dataset de DNS pasivo cerca de un mes después.
¿Se filtraron 6.800 conversaciones privadas? No, y el matiz importa
Claroc enumeró más de 6.800 direcciones de conversaciones compartidas. Eso no equivale a 6.800 conversaciones sensibles expuestas, aunque varios medios lo titularan así. Abrieron «unos pocos cientos» y dejaron el resto: «La mayoría de lo que abrimos era anodino. Las páginas que nos preocuparon eran una minoría».
Describen seis casos, todos sin nombres ni enlaces: las notas de un candidato preparando una llamada confidencial con un laboratorio de IA, con el contacto interno y la hora exacta; una revisión interna de ingresos de una empresa de marketing marcada para su consejero delegado; la solicitud de préstamo de un pequeño empresario, con el importe; una lista de tareas con una alerta de fraude bancario, número de cuenta parcial e importe; el informe de rendimiento de un inversor inmobiliario, con dos direcciones y cifras de hipoteca; y el calendario anual de vacaciones de una plantilla.
No hay cifra de personas afectadas en ninguna fuente. Claroc aclara que no contactó a los implicados, que no hizo fuerza bruta, no inició sesión, no rellenó formularios y dejó en paz la única página que pedía contraseña. Tampoco tiene pruebas de que alguien haya hecho mal uso de esas páginas. El riesgo que señala es otro: «Para alguien que busque causar daño, una lista así es un atajo, lista para el fraude, la suplantación o la ingeniería social».
El aviso de Meta existía, pero no cubría lo importante
La página de ayuda que documenta compartir conversaciones advierte de que «quien tenga el enlace podrá ver tu conversación», que el enlace no caduca y que la gente puede reenviarlo. Pero esa página documenta Meta AI, no Muse específicamente, como precisan los propios investigadores. Y en ningún sitio avisaba de lo que de verdad importa: que el título acaba convertido en un nombre de dominio público.
Meta sí pedía en su robots.txt a los rastreadores de buscadores y de IA que se mantuvieran fuera de las rutas de los enlaces compartidos. No sirvió: «robots.txt gobierna el rastreo, no el acceso, y nuestro descubrimiento nunca pasó cerca de un buscador».
Hay otra consecuencia incómoda que los investigadores apuntan: una auditoría de seguridad que parta de los ajustes documentados de la aplicación puede no ver nada de esto, porque lo que hace que una conversación compartida sea encontrable no aparece en ningún control de privacidad.
La cronología: del bug bounty a la pausa
Asaf Aprozper, cofundador y CTO de Claroc, reportó los hallazgos a través del programa de bug bounty de Meta el 8 de octubre y también intentó contactar a personas de Meta por LinkedIn, sin respuesta, según Ars Technica. Claroc publicó la investigación el 18 de octubre. Ars preguntó a Meta y el 20 de octubre la compañía respondió que «hemos pausado esta funcionalidad mientras revisamos este informe y consideramos cambios en cómo se pueden descubrir estos enlaces».
Gadget Review recogió que la portavoz de Meta Tracy Clayton dijo a The Verge que la compañía evalúa cambios en la descubribilidad de los enlaces. No hay diseño de reemplazo ni fecha de restauración anunciada. Meta no publicó comunicado propio y no consta ningún pronunciamiento de ninguna autoridad de protección de datos sobre este caso.
¿Está resuelto? Parcialmente. Claroc recomprobó el 20 de octubre 40 enlaces que habían abierto sin cuenta a principios de ese mismo mes y ninguno abrió: los hostnames que sirven su contenido devolvieron un error. Pero los propios nombres de dominio, títulos incluidos, siguen en el histórico del DNS pasivo, fuera del alcance de Meta.
No es la primera vez: ChatGPT, Grok y Claude ya pasaron por esto
El patrón se repite. En 2025, conversaciones compartidas de ChatGPT aparecieron en Google y OpenAI retiró la opción que las hacía indexables; semanas después Google había indexado más de 370.000 conversaciones de Grok. Los chats compartidos de Claude también aparecieron indexados: según TechSpot, al menos 200 conversaciones salieron en más de dos docenas de páginas de resultados, y ZDNET documentó que una consulta del tipo site:claude.ai/share bastaba para listarlas. Anthropic respondió que los enlaces «no son adivinables ni descubribles a menos que la gente elija compartirlos».
En junio de 2025 fue Meta la que publicó conversaciones en un feed público sin que muchos usuarios lo supieran.
Qué significa esto para tu startup
Si tu producto tiene una función de compartir por enlace, este caso te toca directamente. Tres cosas concretas:
- Audita dónde vive el dato sensible. Si el título, el nombre de un cliente o un identificador legible viaja en el subdominio, ya está en el DNS público. Muévelo a la ruta o al fragmento de la URL, que no se resuelve por DNS.
- No confundas robots.txt con control de acceso. Bloquear rastreadores no impide que un tercero con un dataset de DNS pasivo reconstruya tu índice. Si necesitas privacidad real, la página tiene que exigir autenticación, no solo un enlace largo.
- Revisa tus avisos de privacidad. Decir «quien tenga el enlace puede verlo» no cubre que el enlace sea descubrible. Si tu política no menciona la indexación, tienes un hueco de confianza y de cumplimiento.
Y una cuarta, para founders que usan agentes de IA en su operación diaria: antes de compartir una conversación con datos de clientes, finanzas o contratos, asume que ese enlace puede acabar en un índice de terceros. La opción más segura es no compartir y exportar solo lo necesario.
Conclusión
Lo de Muse no es una filtración: nadie entró donde no debía. Las páginas eran públicas por diseño y Meta lo decía. Lo que falló es que publicar algo y hacerlo encontrable son dos cosas distintas, y Muse las unió sin darse cuenta al meter el título en el nombre de dominio. Es un error que no aparece en ninguna lista de comprobación de privacidad porque no está en los ajustes: está en cómo se construye una URL.
Meta presentó Muse diciendo que lo había construido «desde cero para ser un agente de IA personal seguro, protegido, privado y ampliamente disponible», con una máquina virtual dedicada y aislada, un agente Sentinel que aprueba lo que sale a internet y sin visibilidad sobre contraseñas ni medios de pago. Puede que todo eso sea cierto y seguir siendo irrelevante: la caja fuerte da igual si el título de lo que guardas dentro va escrito en la puerta. Es la segunda vez en un mes que a este producto le pasa algo así, después de las dudas sobre su acceso a los mensajes, y llega justo cuando acaba de superar los cinco millones de descargas.
Para un agente al que le das tu correo, tu banco y tu agenda, el margen de error debería ser bastante más estrecho. Y para cualquier startup que construya sobre IA, la lección es que la superficie de exposición no termina en tu aplicación: sigue en la infraestructura que la sostiene.
Fuentes
- Meta pausa la función de compartir de Muse: el título de tu conversación acababa en el DNS público (fuente original)
- Meta Muse exposes users’ personal and business secrets when they share conversations
- Meta Suspends Muse Chat Sharing After Researchers Find Links in Public DNS
- Meta Suspends Muse Sharing After CEO Reviews, Loan Files, and Executive Search Notes Surface
- Hundreds of shared Claude chats, including resumes and health details, showed up in Google search
- Claude AI shared chats indexed by Google
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días
