Meta Muse expuso conversaciones compartidas con información personal y empresarial

20 de octubre de 2026. Meta suspendió la función para compartir conversaciones de Meta Muse después de que investigadores de la firma de seguridad Claroc descubrieran que los enlaces podían localizarse públicamente.

Claroc identificó 6.800 enlaces creados por usuarios y revisó varios cientos. Entre la información expuesta había notas para una llamada confidencial con un laboratorio de IA, una revisión interna de ingresos, una solicitud de préstamo, una alerta de fraude bancario con parte del número de cuenta, un informe de rendimiento inmobiliario y el calendario anual de vacaciones de una empresa.

Los investigadores atribuyeron el problema al diseño de las direcciones web. Los enlaces utilizaban subdominios de cf.metaaiusercontent.com e incluían el título de la conversación, lo que permitía descubrirlos mediante búsquedas de DNS pasivo. Según Claroc, el título quedaba registrado en bases de datos públicas de DNS y hacía posible encontrar páginas aunque sus destinatarios no hubieran compartido el enlace.

Meta afirmó que los usuarios podían compartir artefactos concretos de Muse mediante páginas accesibles para quienes tuvieran el enlace. La compañía indicó que había pausado la función mientras revisa el informe y considera cambios en la forma en que pueden descubrirse esas direcciones.

Asaf Aprozper, cofundador y director de tecnología de Claroc, aseguró que comunicó los hallazgos a Meta a través del programa de recompensas por errores el 8 de octubre. La investigación se suma a una vulnerabilidad de día cero descubierta semanas después del lanzamiento de Muse por Patrick Wardle, que podía permitir a otra aplicación instalada en el mismo equipo tomar el control completo de una cuenta.

Fuente: Ars Technica.