Muse : Meta suspend le partage de conversations après révélation de fuites de données
Sommaire
En bref
- Muse, l'agent IA de Meta, laisse fuiter des données sensibles via ses liens de partage : des chercheurs ont pu énumérer 6 800 conversations en une requête DNS passive.
- Le problème vient d'une décision architecturale : le titre de la conversation apparaît dans le sous-domaine, ce qui la rend découvrable par les bases de données DNS publiques.
- Meta a suspendu la fonctionnalité après le rapport de la firme de sécurité Claroc, mais les données exposées incluaient notes d'entretien confidentielles, budgets de prêts, rapports financiers internes, et calendriers de congés complets avec noms d'employés.
Ce que dit la source
Meta annonce que Muse permet aux utilisateurs de partager conversations, recherches et contenus via des URLs uniques réputées sécurisées, comme beaucoup de services en ligne. La firme de sécurité Claroc a découvert que cette conception expose en réalité les données de manière systématique : en une seule requête DNS passive, les chercheurs ont trouvé 6 800 liens de partage, dont plusieurs centaines contenaient des informations clairement confidentielles. L'architecte principal du problème : les titres de conversation sont intégrés dans le sous-domaine de l'URL (exemple simplifié : home-sale-budget-9f21c8a3.cf.metaaiusercontent.com), ce qui les enregistre automatiquement dans les bases de données DNS publiques interrogeables. Meta reconnaît le problème et suspend la fonctionnalité « le temps de nous la revoir et d'envisager des modifications ».
- Les chercheurs ont identifié que tous les liens utilisent le domaine cf.metaaiusercontent.com, rendant l'énumération possible avec un simple outil de recherche DNS passive commercial
- Parmi les centaines de conversations consultées, les données exposées incluaient une aide-mémoire avec un numéro de compte partiel et alerte fraude bancaire, un calendrier complet des vacances d'une entreprise avec noms des employés, ainsi qu'une demande de prêt commerciale avec montant exact
- Patrick Wardle avait déjà découvert en septembre une vulnérabilité zéro-jour permettant à n'importe quelle application locale de prendre le contrôle du compte Muse, à l'aide d'une simple attaque ClickFix ; Meta avait minimisé la gravité
- Le chercheur Asaf Aprozper (co-fondateur de Claroc) a signalé les résultats via le programme de bug bounty de Meta le 8 octobre et tenté de contacter Meta sur LinkedIn, sans réponse à ce jour
- Le concept de « GhostShares » (pages accessibles à des personnes n'ayant jamais reçu le lien) souligne que la faille touche le modèle de sécurité lui-même, pas seulement une omission de validation
Dans les commentaires
Débat partagé entre cynisme inévitable envers Meta, questionnements légitimes sur la viabilité d'une plateforme avec accès si large, et reconnaissance que ce n'est pas une surprise.
- Plusieurs commentateurs soulignent que le problème est principalement architectural : placer le secret dans le sous-domaine plutôt que le chemin URL était une mauvaise décision, indépendante de la culpabilité de Meta.
- Un argument récurrent : les utilisateurs qui confient tous leurs comptes sensibles à un service géré par Meta « méritent ce qui arrive » ; le débat porte moins sur la sécurité que sur le consentement informé.
- Quelques commentateurs contestent la proportionnalité de la réaction : Meta n'a pas répondu au chercheur pendant semaines via les canaux officiels, ce qui interroge la sincérité de sa politique de bug bounty.
- Un développeur partage son expérience de construction d'une plateforme concurrente européenne (20 utilisateurs payants) et souligne la complexité considérable à gérer la personnalisation et l'isolation des données, suggérant que même Meta, avec ses ressources infinies, n'a pas investi suffisamment.
- Plusieurs commentaires pointent l'absence de surprise : Meta est une compagnie de data mining ; le doute sur le respect réel de la vie privée est antérieur à ce rapport.
Notre lecture
La faille est réelle mais presque étonnamment basique : une décision de conception qui confond secret et obscurité, exploitée via une interrogation DNS passive standard. La suspension immédiate par Meta limite les dégâts, mais ne résout rien sur le fond. Ce qui interroge davantage : les utilisateurs de Muse ont volontairement donné accès à leurs comptes bancaires, identités professionnelles, calendriers complets. Le risque n'est pas techniquement contrôlable à ce niveau de permission accordée. Pour une DSI ou un responsable informatique, c'est un argument solide pour interdire Muse en tant qu'outil professionnel (accès fédéré à des données sensibles) ; pour les utilisateurs individuels, la leçon est qu'aucune plateforme centralisée détenue par un tiers ne peut être digne d'un tel niveau de confiance sans audit indépendant continu. À surveiller : comment Meta redessine les liens de partage (si elle choisit de les rétablir), et s'il y a eu exploitation réelle avant la suspension.