Meta suspend le partage Muse après l'exposition de chats IA

Meta a suspendu une fonctionnalité de partage de conversations dans son assistant IA Muse après que des chercheurs en sécurité ont découvert que des liens créés par cet outil pouvaient être exposés publiquement sur le web. L’annonce a été rapportée par Ars Technica et confirmée à The Verge par Tracy Clayton, porte-parole de Muse. Selon elle, la mise en partage de certains éléments d’une conversation génère une page accessible à toute personne disposant du lien. Meta a décidé de bloquer temporairement cette option pendant l’examen du rapport et la réflexion sur les modifications à apporter pour limiter la découverte de ces URL. Les révélations proviennent de la société de cybersécurité Claroc. Dans un rapport publié cette semaine, ses chercheurs indiquent avoir identifié plus de 6 800 liens Muse en exploitant des enregistrements DNS publics. Ces enregistrements fonctionnent comme une sorte d’annuaire du trafic web et peuvent révéler l’existence de certains domaines ou sous-domaines. Dans le cas de Muse, l’adresse créée pour partager une conversation était construite à partir du titre du partage, d’une courte phrase décrivant l’échange, puis d’un identifiant aléatoire. Le nom d’hôte associé pouvait laisser deviner le contenu de la page avant même son ouverture. À partir de cette structure, les chercheurs ont pu reconstituer des liens directs. En consultant plusieurs de ces pages, Claroc dit avoir eu accès à des conversations parfois sensibles. Elles incluaient notamment la revue des revenus d’une agence de marketing, la demande de prêt d’un entrepreneur, un calendrier annuel complet de personnel pour une entreprise, ainsi que des notes relatives à un échange entre un candidat et un laboratoire d’IA. Ces exemples illustrent les risques liés à des liens qui, par conception, peuvent être devinés, indexés ou collectés par des tiers. Cette affaire rappelle que des fonctionnalités de partage conçues pour faciliter la circulation d’informations peuvent aussi exposer involontairement des échanges privés. Meta n’est pas la première entreprise d’IA à connaître ce type de problème. Des conversations partagées avec ChatGPT d’OpenAI, Claude d’Anthropic ou Grok de xAI avaient déjà été retrouvées via des moteurs de recherche, notamment Google, soulevant des questions récurrentes sur la sécurité, la confidentialité et les choix de conception des outils conversationnels. Pour l’instant, Meta n’a pas indiqué de date de réactivation du partage ni détaillé les mesures correctives envisagées. L’entreprise affirme simplement examiner le rapport et envisager des changements pour encadrer la manière dont les liens peuvent être découverts. Cette pause intervient dans un contexte où les assistants IA intègrent de plus en plus de données personnelles et professionnelles, rendant essentielles des protections fortes contre l’accès non autorisé à des contenus qui n’auraient jamais dû être directement accessibles sur le web.