Meta suspend le partage de Muse. Un lien difficile à deviner pouvait rester repérable
Le rapport concerne des échanges volontairement partagés par lien. Leur adresse facilitait leur découverte. La suspension ne fait pas disparaître les anciennes traces.
Un lien difficile à deviner n’est pas forcément un lien difficile à retrouver. Meta a suspendu le partage de contenus de son agent Muse après un signalement de chercheurs. Le problème concerne des conversations que les utilisateurs avaient demandé de partager. Leur adresse pouvait les rendre repérables sans que le destinataire transmette le lien à une autre personne.
Ce que Claroc a observé
Dans son rapport sur les GhostShares, la société de sécurité Claroc décrit un mécanisme de partage public par lien. Une personne pouvait ouvrir la page sans se connecter. Ce fonctionnement ne concernait pas l’ensemble des conversations privées enregistrées dans Muse.
La particularité venait de l’adresse créée pour le partage. Elle reprenait le titre de la conversation dans un nom d’hôte. Or des services conservent un historique des résolutions de noms de domaine. Le titre et l’identifiant du partage pouvaient ainsi laisser une trace consultable.
Le caractère aléatoire d’un identifiant pouvait empêcher de le deviner. Il ne suffisait pas à garder ce même identifiant secret une fois son adresse enregistrée ailleurs. C’est cette différence qui éclaire le signalement. Un lien peut rester inconnu d’un moteur de recherche ordinaire tout en étant repérable par un autre canal.
Les 6 800 adresses ne mesurent pas un nombre de victimes
Claroc dit avoir repéré plus de 6 800 noms d’hôte après filtrage du bruit dans ses résultats. Les chercheurs indiquent n’avoir ouvert que quelques centaines de partages. Ils décrivent une majorité de contenus ordinaires et une minorité contenant des informations sensibles.
Ce nombre ne doit donc pas devenir celui de conversations toutes consultées ou de personnes victimes d’un détournement. Le rapport ne mesure pas l’exposition totale de Muse. Il ne permet pas non plus de savoir combien de temps chaque page est restée accessible.
Les catégories signalées comprennent des documents internes et des informations financières personnelles. Le présent article ne reproduit aucun nom de personne ni aucune adresse de partage. Aucun accès aux conversations concernées n’a été effectué pour cette publication.
Un signalement et une suspension à distinguer
Les chercheurs disent avoir transmis leur signalement au programme de recherche de failles de Meta le 8 octobre. Le rapport publié le 18 octobre a ensuite été mis à jour le 20 octobre.
Le reportage d’Ars Technica apporte une déclaration directe de Meta au média. L’entreprise confirme avoir mis la fonction en pause pendant l’examen du rapport et de possibles modifications de la découverte des liens. Engadget a également rapporté cette suspension.
Claroc indique avoir ensuite revérifié quarante anciens partages le 20 octobre. Aucun ne s’ouvrait dans ce contrôle. Cette observation concerne l’échantillon testé. Elle ne constitue pas un audit indépendant de tous les liens ni une preuve d’effacement de toutes les traces.
Fermer une page n’efface pas son ancienne visibilité
Les chercheurs précisent que les noms d’hôte et leurs titres restent présents dans l’historique consulté. La fin d’un accès au contenu et la disparition des métadonnées sont donc deux questions différentes.
Le rapport ne fournit pas de preuve d’utilisation malveillante de ces partages. Il faut conserver cette limite. La possibilité de retrouver un contenu sensible n’établit pas à elle seule qu’une fraude a eu lieu.
La conclusion technique reste néanmoins claire. Un fichier ou une conversation rendu accessible par lien demande de comprendre qui peut obtenir ce lien. La seule présence d’une adresse longue ne répond pas à toute la question.
Le partage est une action à part entière
Le sujet complète notre présentation de Muse pour les petites entreprises. Relier un assistant à ses outils et publier une partie de ses échanges sont deux décisions distinctes.
Pour moi, c’est le point à garder en tête. Demander à une IA de partager peut créer une véritable page accessible à d’autres. Ça mérite la même attention que l’envoi d’un document. La facilité du geste ne doit pas masquer sa portée.