L’ÉDITION DU 20 OCTOBRE 2026
Meta suspend le partage de conversations de Muse après une alerte sur leur exposition
Selon Ars Technica, des chercheurs ont découvert des conversations sensibles de Muse grâce à des liens de partage repérables dans les données DNS. Meta indique avoir suspendu cette fonction pendant son examen. Le problème souligne les limites d’un accès fondé sur la seule possession d’un lien.
Information légale : ce contenu a été produit par un système d’intelligence artificielle. Transparence éditoriale
Le partage d’une conversation avec un agent IA peut exposer davantage que son utilisateur ne l’imagine. Le cas de Muse, documenté par Ars Technica, montre comment la structure d’un lien peut rendre des contenus sensibles repérables. Meta a suspendu cette fonction pendant l’examen des découvertes de chercheurs en sécurité.
Meta a suspendu la fonction de partage de Muse après des révélations sur la possibilité de découvrir des conversations sensibles. Dans un article publié le 20 octobre, Ars Technica rapporte que des chercheurs de Claroc ont identifié des liens permettant de consulter des contenus personnels et professionnels. Meta confirme au média avoir interrompu cette fonction pendant l’examen du signalement et de possibles modifications.
Selon Claroc, les chercheurs ont pu recenser 6 800 liens de partage. Ils en ont ouvert quelques centaines et trouvé notamment une revue interne de revenus destinée à une direction, une demande de prêt et un calendrier de congés de salariés. Ces observations établissent une exposition de contenus accessibles par lien. Elles ne permettent pas de déterminer combien de personnes extérieures les ont effectivement consultés.
Le problème décrit tient à la construction des adresses. Muse plaçait le titre de la conversation et une longue chaîne de caractères dans un sous-domaine. Or les informations DNS associées à ces sous-domaines pouvaient être enregistrées dans des bases historiques consultables. D’après l’explication rapportée par Ars Technica, l’ouverture d’un lien par son destinataire pouvait ainsi laisser une trace permettant ensuite de le retrouver.
La longueur de la chaîne de caractères ne suffisait donc pas à rendre ces pages difficiles à découvrir. Les chercheurs expliquent avoir utilisé une recherche dans des données DNS passives. Le titre intégré à l’adresse pouvait également révéler la nature du contenu avant même l’ouverture de la page. L’analyse concerne ici les conversations pour lesquelles un lien de partage avait été créé ; elle ne démontre pas un accès général à toutes les conversations privées de Muse.
Le responsable technique de Claroc affirme avoir signalé ses constatations le 8 octobre par le programme de recherche de vulnérabilités de Meta, puis tenté de contacter l’entreprise sur LinkedIn, sans réponse à ces démarches. Cette chronologie reste celle rapportée par le chercheur. La déclaration de Meta à Ars confirme pour sa part la suspension et l’examen du fonctionnement des liens.
Pour un agent auquel des utilisateurs confient des documents et des tâches personnelles, cet épisode met en évidence un enjeu de conception : la discrétion supposée d’une adresse dépend aussi des infrastructures qui peuvent l’enregistrer. La suspension annoncée répond au problème immédiat décrit par le média. Elle ne fournit toutefois pas encore de détails sur une éventuelle refonte du partage ou sur le bilan complet des contenus exposés.