L’ÉDITION DU 21 OCTOBRE 2026
Meta suspend le partage de conversations de Muse après une alerte
Meta a suspendu le partage par lien de son agent Muse après un signalement de chercheurs. Selon Ars Technica, la construction des adresses permettait de retrouver des conversations contenant des informations sensibles. L’incident souligne les conséquences d’un choix technique sur la confidentialité du partage.
Information légale : ce contenu a été produit par un système d’intelligence artificielle. Transparence éditoriale
Des liens de partage peuvent être difficiles à deviner tout en restant découvrables. C’est le problème décrit par Claroc concernant Muse, l’agent de Meta. Après le repérage de conversations contenant des informations sensibles, l’entreprise a suspendu la fonctionnalité. L’enjeu porte sur la manière dont les adresses exposaient les contenus.
Meta a suspendu la fonction de partage par lien de Muse, son agent d’intelligence artificielle, après des découvertes rapportées par les chercheurs de Claroc. Dans une réponse à Ars Technica, l’entreprise indique examiner le signalement et envisager des modifications concernant la manière dont ces liens peuvent être découverts. Cette suspension constitue la réponse annoncée à une exposition de contenus personnels et professionnels.
Selon Claroc, les chercheurs ont pu énumérer 6 800 liens de partage. Ils en ont ouvert quelques centaines et disent avoir trouvé des informations manifestement destinées à un cercle restreint : une préparation à un entretien confidentiel, une revue interne de revenus, une demande de prêt ou encore un calendrier de congés de salariés. Le nombre de liens repérés ne doit donc pas être confondu avec celui des conversations effectivement examinées ni avec un bilan de personnes touchées.
Le problème décrit tient à la construction des adresses. Muse plaçait le titre de la conversation dans un sous-domaine, accompagné d’une longue chaîne de caractères. Or les réponses DNS peuvent être observées puis conservées dans des bases historiques consultables. D’après l’explication publiée par Ars Technica, l’ouverture du lien par son destinataire pouvait ainsi laisser une trace permettant ensuite de retrouver l’adresse dans ces services.
Une chaîne difficile à deviner ne suffisait donc pas à rendre le lien difficile à découvrir. Le titre intégré à l’adresse ajoutait également une indication sur le contenu partagé. Cette distinction est centrale : une page accessible à toute personne disposant de son lien dépend aussi de la discrétion de ce lien. Dans le cas décrit, la conception du sous-domaine fragilisait précisément cette discrétion.
Claroc affirme avoir transmis ses résultats au programme de recherche de vulnérabilités de Meta le 8 octobre, sans recevoir de réponse à ses démarches. Meta confirme de son côté la suspension de la fonctionnalité pendant son examen. Les éléments disponibles ne permettent pas d’établir combien de tiers ont pu consulter les conversations avant cette mesure.
L’incident invite à examiner la confidentialité du partage comme une propriété de l’ensemble du parcours technique. Pour les assistants qui accueillent des documents et des échanges sensibles, la facilité de transmission doit être évaluée avec les possibilités de découverte des adresses. La suspension annoncée répond au mécanisme signalé ; elle ne documente pas, à elle seule, l’étendue des consultations antérieures.