A Meta suspendeu temporariamente o recurso de compartilhamento de conversas do Muse, seu novo assistente de inteligência artificial, após a revelação de uma falha crítica que permitia o acesso público a informações sensíveis. A vulnerabilidade expôs milhares de interações, incluindo pesquisas, imagens e dados comerciais confidenciais, que deveriam permanecer privados entre o usuário e a plataforma.

Como a falha expunha dados dos usuários

O problema técnico residia na estrutura dos links gerados pelo Muse. A ferramenta inseria o título das conversas diretamente no subdomínio da URL, como em home-sale-budget-9f21c8a3.cf.metaaiusercontent.com, em vez de manter essas informações protegidas no restante do endereço. Ao acessar o link, a consulta DNS era registrada em bancos de dados públicos, tornando o conteúdo rastreável por terceiros.

A empresa de segurança Claroc, responsável pela descoberta, batizou a falha de GhostShares, aludindo às páginas que se tornavam acessíveis mesmo sem o envio direto do link. Com apenas uma consulta a serviços de DNS passivo, os pesquisadores localizaram 6.800 endereços contendo documentos financeiros, pedidos de empréstimos, relatórios imobiliários, alertas de fraude bancária e cronogramas de férias.

Tentativas de contato e histórico de problemas

O cofundador e diretor de tecnologia (CTO) da Claroc, Asaf Aprozper, afirmou que reportou a falha pelo programa de bug bounty da Meta em 8 de outubro de 2026. Ele também tentou contato com a empresa pelo LinkedIn, mas não recebeu uma resposta antes de a imprensa questionar a companhia.

O incidente contradiz promessas recentes da gigante de tecnologia. No mês anterior, o CEO da Meta, Mark Zuckerberg, assegurou que o Muse havia sido desenvolvido desde o início com foco em privacidade e segurança. Vale lembrar que o assistente já havia enfrentado outra vulnerabilidade grave. Pouco após o lançamento, o pesquisador Patrick Wardle identificou uma falha zero-day que permitiria a sequestro da conta do agente através de ataques do tipo ClickFix, embora a Meta tenha minimizado o risco na ocasião.

Segurança e o futuro do Muse

A exposição atual é particularmente preocupante dado o nível de acesso que o Muse possui. O assistente, que se tornou um dos aplicativos mais baixados na App Store, realiza tarefas autônomas como agendamento de compromissos, compras e preenchimento de formulários, o que exige permissões profundas em contas pessoais.

Em nota oficial, a Meta confirmou a interrupção do compartilhamento de links para investigar a origem do problema e implementar correções. Até que uma solução definitiva seja aplicada, a companhia busca mitigar os riscos de que conversas e documentos sensíveis continuem sendo indexados por terceiros em ambientes de busca pública.