6800个Muse分享链接被公开检索
你有没有过这样的时刻——
你把一份文件拖进对话框，AI 几秒钟给你梳理得明明白白。你顺手点一下"分享"，复制那串长长的链接，甩进同事的聊天窗口。整个过程不到十秒，甚至有点小得意：效率这东西，终于有点样子了。
你心里想的其实是同一句话：这链接，只有他看得到。
这个念头，是对的。链接里带着一长串随机字符，不是连续猜上几百万次，根本不可能被别人碰巧撞出来。整个互联网的默认假设也是这样的：链接是钥匙，钥匙给了谁，谁才能进门。
但 Meta 旗下那个叫 Muse 的个人 AI 助手，把这个假设悄悄作废了。
10 月 18 日，安全公司 Claroc 甩出一份标题有点瘆人的报告：GhostShares。他们只是查了一次数据库，就从 DNS 的历史记录里翻出了超过 6800 个 Muse 用户生成的分享链接。顺手打开几百个，大部分还活着，不需要登录，不需要权限，不需要猜。
更要命的是那份"目录"长什么样。每一个链接的主机名里，都明明白白写着对话的标题：
home-sale-budget-9f21c8a3.cf.metaaiusercontent.comq3-revenue-review-7b1e42f0.cf.metaaiusercontent.comloan-application-draft-a4c9e2.cf.metaaiusercontent.comstaff-vacation-calendar-5d8b7a.cf.metaaiusercontent.com
房子预算。Q3 营收复盘。贷款申请草稿。员工休假表。
你不需要打开任何一页，光看这一行 hostname，你就知道里面躺着什么。这不是"我们不小心泄露了某个文件"，这是你给自己写的那份文件，贴上了自己的标签，然后挂在了全球公共索引的架子上。
一次查询，6800 份你从没给过的链接
先把机制说清楚，因为这一段决定了后面所有的荒谬感。
被动 DNS是个什么概念？平时你在浏览器输入一个网址，机器会问 DNS 服务器"这个域名对应哪个 IP"。而全球各地布着大量递归 DNS 解析器，那些解析器顺手就会把"某某在某个时刻查过这个域名"记下来，再汇总进一个可检索的公共数据库。这就是被动 DNS——你不需要攻破任何东西，光是"访问"这一个动作本身，就把门牌号登记在了册子上。
Claroc 的团队做的事，说出来平淡到有点气人：他们用一家商业被动 DNS 服务，按 cf.metaaiusercontent.com 这个内容域名做了一次模式匹配查询。滤掉通配符扫描的噪声之后，剩下的分享主机名超过 6800 个。而因为 Muse 把分享标题塞进了 URL，这些主机名是带标题返回的。
Claroc 联合创始人兼 CTO Asaf Aprozper 后来写了一句，克制到近乎黑色幽默：
"如果我们事先问过你，我们会猜收集这些东西需要实打实的功夫。它花了一次查询。"
一次。他们只打开了其中几百个，其余的没碰，就退出了。他们说自己只在 10 月 7 日和 8 日收集期间检查过内容，10 月 18 日为了拍那张打码的截图重新打开过一个（仅此一个），此外再没重访过任何页面。
但保守，救不了已经被翻出来的那些东西。而且被动 DNS 只是其中一个入口——公开的 URL 扫描站 urlscan.io 上，已经存着超过 75 次对 Muse 分享页的扫描记录；普通搜索引擎里，同样能搜到。
顺带一提，Muse 的 robots.txt 确实要求搜索引擎和 AI 爬虫别碰分享路径。但 Claroc 点得很准：robots.txt 管的是"抓不抓"，管不了"能不能访问"。他们从头到尾没有经过任何搜索引擎。
那些你从来没打算给任何人看的东西
Claroc 在报告里只列了 6 类样本，不写名字、不写链接，理由是"避免指向任何受影响的内容"。即便这么克制，这 6 类读下来还是让人后背发凉：
一、候选人准备面谈的机密笔记。 一位候选人为与某家前沿 AI 实验室负责人的高管搜寻面谈做准备，内容包含那家实验室的内部联系人和确切会议时间。Claroc 说得很准：文档本身可能只是公开信息的拼图，但"谁在私下和谁、什么时候见面"不是公开的——暴露的不只是文件，是用公开零件拼出来的私密事实，然后直接递到任何能搜 DNS 的人手里。
二、一家全国性营销公司的内部营收复盘，标注"仅 CEO"。
三、一位小企业主的贷款申请，含申请金额。
四、一张待办清单，里面有一条银行欺诈提醒，带部分卡号、交易金额和交易时间。
五、一位房产投资人的内部业绩报告，含两处房产地址、精确的收益率、收入和按揭数字。
六、一家机构的全年员工休假表，把几十个员工对应到各自休假的周次。
读到这里，你或许会想：这也未必是坏事吧？Claroc 说得很公平——他们没有联系任何当事人，所以无法替他们判断本意；大多数分享页确实平淡无奇（小企业官网、活动日历那种，本就想给人看的）；他们也没有任何证据表明这些页面被恶意利用过，更无法确定在研究团队之前是否已经有人访问过。
而且别忘了——今天在座的人里，大家多半都分享过。
但如果你把视角从研究团队挪到"任何一个拿到这份目录的人"身上——诈骗、冒充、社会工程，这三样东西需要的只是一个起点。名单已经整理好了，连标题都是现成的分类。
顺带说一个数字：Claroc 最后一次查看时，这个分享层一天还在生成 27 个新的主机名。他们自己强调，这是"持续的发现"，不是"重新验证的可访问性"。但方向是清楚的。
为什么那串随机字符救不了你
到这里必须处理一个很自然的反驳：链接里不是有随机 ID 吗？9f21c8a3 这种东西，怎么猜？
Claroc 在报告里专门回答了这个问题，答案之简洁让人无话可说：
"随机 ID 只有在它还保密的时候才是个秘密。而主机名不是秘密。"
展开说：没有任何人能猜到它——但根本没人需要猜。 链接第一次被打开的瞬间，DNS 就把整个主机名，连同那串"不可猜"的随机 ID 一起记了下来。你精心设计的"不可猜"，在第一次访问时就被连根拔起，公开陈列。
而更要命的是，这件事不可撤回。Meta 随后暂停了 Muse 的分享功能，说会审查这份报告、并考虑怎么调整链接的可被发现性。Claroc 在 10 月 18 日更新的报告里也确认：他们重新检查了此前 40 个可打开的分享页，这些页面现在都已经打不开了，主机名返回错误。
但是——IT之家那句提醒说得很准确：已经进入被动 DNS 历史记录的域名和它们的对话标题仍然存在。 暂停功能不等于抹掉记录。就像你删掉一条微博，搜索引擎的缓存还在；就像你撤回一封邮件，服务器上可能已经有副本。
还有一个更冷的事实：这不是第一个信号。
2025 年，ChatGPT 的共享对话出现在 Google 搜索结果里，OpenAI 下架了让它可被索引的选项；几周后，Google 又索引了超过 37 万条 Grok 对话。Claroc 说，把 AI 分享页挡在搜索引擎之外，早就成了常识性的防护措施，Muse 也做了——但所有人都以为"挡在搜索引擎之外"就等于安全。这次证明它不是。DNS 不请自来。
一个"从底层为隐私和安全而建"的助手
还有一件事，让这件事更值得咂摸。
2026 年 9 月，Muse 上线。9 月 8 日。这个东西有多"特权"，Ars Technica 有一整篇报道讲得很细：它能自己填表、订位、下单、生成文档、连上你的应用；它需要接入你的邮件、日历、WhatsApp、社交账号；在 macOS 上，它要拿到写磁盘、用麦克风和相机、读位置和日历的权限。它没有 Windows 版——有人拿这个当成只做了 Mac 用户的便利，其实更像是能力边界的暗示。
而在这个基础上，9 月还有过一次公开的安全事故：macOS 安全专家 Patrick Wardle 发现，同设备上任何其他应用或终端命令，都能拿到你的 Muse 账号完整控制权。他写的 PoC 能往磁盘写文件、能偷拍，用户可能毫无察觉。而触发它只需要一次 ClickFix 变体攻击——一种正在全球电脑和 Mac 上疯狂扩散的社工手法。Meta 在文章发布 12 小时后推了热修。
扎克伯格 9 月公开表态说，Muse 是"从底层为隐私和安全而建"的。
Ars 的记者把 GhostShares 和这件事放在一起，问了一个我觉得很不客气但很合理的问题：一个需要如此这般权限的助手，值不值得被交付这些权限？
Amazon 已经先投了反对票。在 Wardle 公开披露前约 12 小时，Amazon 开始拦截用户在亚马逊站内使用 Muse 下单，给出的理由是 Muse 属于"未经授权的 AI 代理，违反了 Amazon 的使用条款"，并要求 Meta 把 Amazon 移出体验。Amazon 的公开表态逻辑很清楚：代替顾客去别家买东西的第三方代理，应当公开运作并尊重服务方的决定。
而 Claroc 的 CTO Asaf Aprozper 在邮件里的表态，是整份报告最沉的一句：
"在检查了类似平台、向行业同事咨询、并重读 Meta Muse 文档之后，我们认定这一行为是设计如此。"
不是 bug。是设计。分享一个对话在 Muse 里本来就会生成一个公开页面。Meta 自己的帮助页写得清清楚楚：点"分享链接"之后，"拥有链接的人都能看到你的对话"，链接"不会过期"，而且别人"可以再次分享这个链接"。
Claroc 在报告最后说：AI 助手只会越来越强、越来越深地织进我们的工作。回避它们不是答案。 正确的做法是睁着眼睛用——在你确认之前，就假设你分享的一切都已经是公开的。 "这些工具有用，但它们还没有做到默认安全；在做到之前，那部分责任在你。"
而据 Claroc 说，他们 10 月 8 日就把复现步骤和样本链接报给了 Meta 的漏洞赏金计划，至今没有收到任何回复。
今晚就能做的四件事
讲到这里可能有点憋屈。但这份憋屈里其实藏着出口——因为这件事的关键漏洞，恰恰是用户能自己补上的那一块。
一、分享前，把标题改掉。
这是今晚就能做、性价比最高的一件事。主机名里的标题来自你给对话起的名字，而那个名字会变成别人索引你的那句话。"Q3 营收复盘"这种标题，等于给陌生人递了一张写着"此人有可利用的营收数据"的标签页。改成一句无意义的随机串，成本是三秒钟，收益是整份档案从目录里消失。
二、用完就删链接。
Meta 自己的文档承认了：链接不会过期，别人还能再转发。你要做的是把"分享"当成一次性的动作，不是"存档"。发给对方的那一刻，你的心智模型应该是"这是一次快递交付"，不是"这是给它的永久主页"。
三、把 AI 换成草稿机，不是发布机。
这是最根本的一条。让 Muse 帮你读文件、列提纲、挑重点、起草结构——这些都在你自己的屏幕上发生，不留公开痕迹。但凡最终要"给别人看"的定稿，不要经过任何带分享功能的 AI 工具。多复制粘贴一次粘贴板，就像多戴一次手套。Claroc 自己给的建议也正是这一层：把 AI 的"分享链接"当作一次对外的数据传输来监控。
四、如果你管着一支团队，直接在网关上封掉。
Claroc 给的方案不优雅但有效：在代理或 DNS 过滤器里拒绝 muse.ai 和 metaaiusercontent.com，至少在你能看清分享行为之前。这是钝刀，但能立刻止血。
如果你是个人用户，还有一个更朴素的兜底：做一次自查。用被动 DNS 和 urlscan，搜一下你自己常用那些 SaaS 和 AI 工具的内容域名；然后你自己建一个分享链接，看看 hostname 里到底留下了什么。
你能捞回来的，任何有同样权限的人都能捞回来。
最后
我们这一代人，对"链接"的信任是慢慢建立起来的。短链、临时会话、阅后即焚，每一次产品迭代都在教我们：链接可以收窄权限。
但这一次，产品没有收紧权限，只是在另一个我们不熟悉的索引里，替我们建了一个目录。你精心写下的标题，成了别人的检索词；你随手点下的分享，成了别人清单上的一行。
下一次你点"分享"那个按钮的时候，多花两秒吧。
不是要用得少一点——AI 该用还得用，它是真的好用。是先想清楚，你愿不愿意让一个陌生人，看见你给它起的那个名字。
至于你：在 AI 助手里分享过的最不该分享的东西，是什么？评论区聊聊，我们互相提醒一下。
参考来源：Claroc《GhostShares: Meta's Muse Exposed Prep for a Confidential Call With a Frontier AI Lab Leader》（2026-10-18）https://blog.claroc.io/ghostshares-muse-passive-dns/ ；Ars Technica《Meta Muse exposes users' personal and business secrets when they share conversations》（2026-10-20）https://arstechnica.com/security/2026/10/meta-muse-exposes-users-personal-and-business-secrets-when-they-share-conversations/ ；Ars Technica《Muse, Meta's extraordinarily privileged AI assistant, has a serious 0-day》（2026-09）https://arstechnica.com/security/2026/09/muse-metas-extraordinarily-privileged-ai-assistant-has-a-serious-0-day/ ；IT之家《研究人员通过 DNS 数据库发现数千个公开的 Muse 聊天记录分享链接，Meta 已修复》（2026-10-24）https://www.ithome.com/1/017/517.htm ；The Verge、Engadget、eWeek 相关报道。