메타 Muse 공유 대화, 링크 없이도 열려…
메타의 AI 에이전트 Muse로 공유한 대화 페이지를 링크를 받지 않은 사람도 공개 DNS 기록으로 찾아 열 수 있었다. 보안업체 Claroc이 6,800개 넘는 공유 주소를 찾았고, 그 안에는 대출 신청서와 매출 보고서도 있었다. 메타는 공유 기능을 멈추고 검토에 들어갔다.
메타의 Muse로 공유한 대화 페이지를 링크를 받지 않은 사람도 찾아 열 수 있었던 것으로 드러났다. 메타는 공유 기능을 멈추고 검토에 들어갔다.
보안업체 Claroc은 10월 18일 보고서에서 공개 DNS 기록(인터넷 주소를 찾을 때 남는 조회 기록)으로 Muse 공유 주소를 6,800개 넘게 찾았다고 밝혔다. Muse는 공유 페이지 주소에 대화 제목과 무작위 문자열을 넣는다. 누군가 이 페이지를 한 번 열면 주소 전체가 DNS 조회 기록을 모으는 서비스에 남아, 누구나 검색할 수 있게 된다.
로그인 없이 대출 신청서와 매출 보고서가 열렸다
Claroc은 찾은 주소 가운데 수백 개를 로그인하지 않은 상태로 열었다. 대부분은 공개를 의도한 평범한 페이지였지만, 일부에는 소상공인의 대출 신청서와 기업의 CEO 보고용 매출 검토 자료가 들어 있었다. 직장의 1년치 휴가 일정표와 AI 연구소 임원 채용 면담을 준비한 메모도 있었다.
Claroc 공동창업자 아사프 아프로즈퍼(Asaf Aprozper)는 10월 8일 메타의 버그 바운티로 이를 신고했지만 답을 받지 못했다고 Ars Technica에 밝혔다. 메타는 Ars Technica의 질의를 받은 뒤 성명에서 "보고서를 검토하고 링크가 발견되는 방식을 바꿀지 검토하는 동안 이 기능을 중단했다"고 밝혔다.
Claroc이 10월 20일 다시 확인한 공유 페이지는 모두 열리지 않았다. 다만 대화 제목이 들어간 주소는 지금도 DNS 기록에 남아 있다. 2025년 와 대화가 검색 엔진에 노출된 사고와 달리, 이번에는 Muse가 검색 엔진의 수집을 막아 둔 상태에서도 DNS 기록으로 주소가 드러났다.
