6 800 conversations avec Meta Muse se retrouvent en public : une seule requête DNS a suffi
Des chercheurs de la société de sécurité Claroc ont retrouvé plus de 6 800 liens de partage de conversations avec Muse, l'agent d'intelligence artificielle de Meta, grâce à une seule requête DNS. Ils n'ont ouvert que quelques centaines de ces liens, mais le contenu est déjà parlant. Ils y ont trouvé une demande de prêt, une alerte de fraude bancaire et le calendrier des congés d'une entreprise. Ces échanges, que leurs auteurs pensaient réservés à un destinataire précis, étaient donc accessibles à n'importe qui sachant où chercher.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de Frandroid. Lire l'article original →
L'enjeu est d'abord celui de la confidentialité. Un lien de partage censé rester discret peut devenir une porte d'entrée publique lorsque son adresse se découvre facilement. Les utilisateurs qui confient à un assistant des informations financières, personnelles ou professionnelles s'exposent à des risques d'usurpation d'identité, de fraude ou d'espionnage industriel. Les entreprises dont les salariés utilisent ces outils pour leur travail sont aussi concernées, car des données internes peuvent sortir sans que personne ne s'en aperçoive.
Cette affaire rappelle d'autres épisodes qui ont touché les assistants IA grand public. Des conversations ChatGPT partagées ont ainsi été indexées par les moteurs de recherche en 2025, et le fil public de Meta AI avait déjà exposé des échanges que leurs auteurs croyaient privés. À mesure que Meta, OpenAI et Google déploient des agents capables de gérer des tâches sensibles, la manière dont ils génèrent et protègent les liens de partage devient un point de vigilance. La suite dépendra de la réponse de Meta et de la sécurisation de ces adresses.
Les conversations exposées peuvent contenir des données personnelles d'utilisateurs européens, ce qui soulève des questions de conformité au RGPD pour Meta.