Em 20 de outubro de 2026, a Meta disse à Ars Technica que havia pausado o compartilhamento de conversas no Muse enquanto analisava um relato da empresa de segurança Claroc e avaliava mudanças na descoberta dos links. A investigação da Claroc tratava de páginas que usuários escolheram compartilhar, não de conversas que permaneceram privadas.
Como o DNS passivo tornou os links do Muse localizáveis
Segundo a Claroc, o nome de host de cada página compartilhada reunia o título da conversa, um identificador aleatório e o domínio cf.metaaiusercontent.com. Quando alguém abria um link, uma consulta ao DNS podia deixar registrado o nome de host completo, incluindo o título. O DNS passivo armazena nomes de domínio observados em consultas; a Claroc usou um serviço comercial desse tipo para localizar os registros.
O identificador aleatório não ocultava o título se o nome de host completo fosse registrado. A NeoTeo já havia abordado outra discussão sobre privacidade no Muse em uma reportagem anterior; este caso trata da descoberta de páginas que usuários decidiram compartilhar.
O que a Claroc encontrou nas páginas abertas
A Claroc relatou ter identificado mais de 6.800 nomes de host, depois de filtrar registros gerados por consultas a DNS curinga. A contagem veio de um serviço comercial de DNS passivo e de um padrão de nome de host; os pesquisadores abriram algumas centenas de páginas. Uma minoria das páginas examinadas continha informações pessoais ou comerciais sensíveis, como material interno de empresas, um pedido de empréstimo, um alerta de fraude bancária e um calendário de férias de funcionários.
A Claroc disse que seu levantamento, feito em um período curto, não media a exposição total do Muse nem por quanto tempo cada página ficara acessível. Os mais de 6.800 nomes de host não representam uma contagem de pessoas afetadas ou de conversas privadas. A empresa também afirmou não ter encontrado indícios de uso indevido das páginas examinadas.
O que ocorreu com os links rechecados em 20 de outubro
No dia em que a Meta comunicou a pausa, a Claroc reabriu 40 links que haviam funcionado antes. Nenhum deles abriu na rechecagem, e os nomes de host e títulos continuavam no histórico de DNS passivo. A verificação se limitou a esses 40 links.
