Vertrauliche Umsatzanalysen, Kreditanträge und interne Personalinformationen – all das war über Metas KI-Agent Muse ohne Anmeldung zugänglich. Sicherheitsforscher:innen des Unternehmens Claroc haben Anfang Oktober mehr als 6.800 öffentlich auffindbare Links zu geteilten Muse-Konversationen entdeckt. Bei der Überprüfung Hunderter Seiten am 7. und 8. Oktober stießen sie unter anderem auf vertrauliche Umsatzanalysen, Kreditanträge und interne Personalinformationen, die ohne Anmeldung zugänglich waren. Das Problem meldeten sie am 8. Oktober an Meta. Nachdem Ars Technica am 20. Oktober über die Sicherheitslücke berichtet hatte, setzte der Konzern die betroffene Sharing-Funktion vorübergehend aus, wie auch The Verge berichtet.

Während Muse damit ein gravierendes Sicherheitsproblem offenbart, stellt der KI-Agent bei den Download-Zahlen neue Rekorde auf. Laut Daten des Analyseunternehmens Sensor Tower, über die TechCrunch berichtet, wurde die App innerhalb von 40 Tagen weltweit 10,9 Millionen Mal heruntergeladen, davon 10,2 Millionen Mal in den USA. Zum Vergleich: ChatGPT erreichte dort im entsprechenden Zeitraum nach dem App Launch 3,7 Millionen Downloads, kam weltweit allerdings auf rund 15 Millionen. Auch bei der Nutzer:innenbindung schneidet Muse in den USA besser ab. Nach 14 Tagen nutzen noch 23 Prozent der User die App, bei ChatGPT, Claude und Grok sind es durchschnittlich 16 Prozent.

Meta profitiert bei der Vermarktung von Muse auch von der Reichweite von Facebook, Instagram, WhatsApp und Messenger, die zusammen 3,6 Milliarden Menschen täglich nutzen. Wie wirkungsvoll diese Ausgangsposition sein kann, zeigte bereits der Launch von Threads im Juli 2023. Die eng mit Instagram verknüpfte App erreichte innerhalb von nur fünf Tagen mehr als 100 Millionen Anmeldungen. Auch Muse bewirbt Meta über die bestehenden Dienste und investiert zusätzlich erheblich in Werbung. Im Oktober entfielen laut Sensor Tower 39 Prozent der gesamten Werbeausgaben des Konzerns auf den KI-Agent, nach 23 Prozent im September.

Meta fordert OpenAI und Anthropic heraus:
Muse Wonder und Wonder Full sind da

Sicherheitslücke bei Muse: So konnten Fremde KI-Chats finden

Über die Sharing-Funktion konnten User ihre Muse-Konversationen per Link mit anderen teilen. Die freigegebenen Seiten waren ohne Anmeldung zugänglich, sollten aber nicht ohne Kenntnis des jeweiligen Links auffindbar sein. Genau dieser Schutz funktionierte bei Muse nicht. Die Sicherheitsforscher:innen konnten die Web-Adressen über öffentlich zugängliche DNS-Datensätze ermitteln und damit Unterhaltungen öffnen, deren Links sie nie erhalten hatten.

Meta erklärt auf einer eigenen Hilfeseite zu Meta AI, dass Personen mit einem Freigabelink die entsprechende Unterhaltung aufrufen und den Link weiterverbreiten können. Die Freigaben laufen demnach nicht automatisch ab. Die Anleitung bezieht sich zwar nicht ausdrücklich auf Muse, verdeutlicht aber, wie Meta die Weitergabe solcher Unterhaltungen grundsätzlich beschreibt.

Eine einzige Suchabfrage lieferte Tausende Freigabe-Links

Die Ursache für die öffentliche Auffindbarkeit lag im Aufbau der Muse-Freigabe-Links. Der KI-Agent erzeugte für jede geteilte Unterhaltung eine Web-Adresse aus dem Titel, einer kurzen Beschreibung und einer zufälligen Kennung. Letztere sollte die Adresse schwer erratbar machen. Allerdings wurden die vollständigen Host-Namen einschließlich der Kennungen in sogenannten Passive-DNS-Datenbanken erfasst. Solche Dienste speichern Informationen über zuvor aufgelöste Domainnamen und machen sie durchsuchbar.

Claroc suchte in einer solchen Datenbank nach der Domain, über die Muse geteilte Inhalte bereitstellte, und fand nach dem Herausfiltern irrelevanter Ergebnisse mehr als 6.800 Einträge. Aus den gespeicherten Host-Namen konnten die Forschenden funktionierende Freigabe-Links rekonstruieren und die entsprechenden Seiten ohne Meta-Konto öffnen. Weil die Adressen auch die Titel der Unterhaltungen enthielten, verrieten sie häufig bereits vor dem Aufruf, worum es in den Konversationen ging. Die zufälligen Kennungen boten somit keinen ausreichenden Schutz vor einer gezielten Suche. Auch der öffentliche Dienst urlscan.io hatte bereits mehr als 75 Scans entsprechender Muse-Seiten gespeichert.

Die Forschenden mussten dafür weder Zugangssperren überwinden noch Kennungen systematisch erraten. Eine einzige DNS-Suchabfrage reichte aus, um Tausende potenziell zugängliche Freigaben zu finden.

Vertrauliche Gesprächsnotizen und Urlaubskalender ohne Anmeldung einsehbar

Wie weitreichend die Folgen waren, dokumentiert Claroc mit mehreren Screenshots. Einer zeigt die Vorbereitung eines vertraulichen Gesprächs mit einem führenden KI-Labor. Die geteilte Seite enthielt einen konkreten Besprechungstermin, Hinweise zur Vertraulichkeit und vorbereitete Fragen. Die Forschenden konnten die Notizen in einem Inkognito-Browser-Fenster öffnen, ohne sich bei Meta anzumelden. Namen und andere identifizierende Angaben wurden vor der Veröffentlichung geschwärzt.

Ein weiterer Fund betraf den Jahresurlaubskalender eines Unternehmens für 2027, der die geplanten Abwesenheiten zahlreicher Mitarbeitender enthielt. Auch diese Informationen waren ohne Anmeldung einsehbar. Für die Veröffentlichung verpixelte Claroc die Namen, während die Anmelde- und Registrierungsoptionen von Muse auf dem Screenshot sichtbar blieben.

Neben diesen Beispielen entdeckten die Forschenden einen Kreditantrag mit der beantragten Summe, eine interne Umsatzprüfung für die Geschäftsführung eines Marketing-Unternehmens und einen Immobilienbericht mit Adressen, Renditen und Finanzierungsdetails. Die meisten überprüften Seiten enthielten laut Claroc keine sensiblen Informationen. Dennoch belegen die dokumentierten Fälle, dass auch vertrauliche Unterlagen über die Freigabefunktion zugänglich wurden. Zwar hatten User die Inhalte zunächst selbst zur Weitergabe freigegeben, durch die Auffindbarkeit der Links konnte jedoch ein wesentlich größerer Personenkreis darauf zugreifen als möglicherweise beabsichtigt.

Meta stoppt Sharing-Funktion, doch Fragen zur Datensicherheit bleiben

Nachdem Ars Technica Meta mit den Ergebnissen konfrontiert hatte, pausierte der Konzern die Sharing-Funktion. Bei einer anschließenden Überprüfung von 40 zuvor erreichbaren Freigaben stellte Claroc fest, dass keine davon mehr geöffnet werden konnte. Die Web-Adressen einschließlich ihrer Titel blieben allerdings in historischen DNS-Datensätzen gespeichert. Ob Dritte die Informationen vor der Deaktivierung abgerufen oder missbraucht haben, ist bislang nicht bekannt.

Öffentlich auffindbare KI-Konversationen sind kein neues Problem. Bereits im Sommer 2025 erschienen geteilte ChatGPT-Unterhaltungen in den Google-Suchergebnissen, woraufhin OpenAI die entsprechende Indexierungsoption entfernte. Wenige Wochen später wurden auch mehr als 370.000 Grok-Konversationen von Google indexiert. Meta hatte die Indexierung geteilter Muse-Seiten durch Suchmaschinen-Crawler zwar eingeschränkt, die Erfassung der Adressen durch DNS-Dienste damit aber nicht verhindert.

Zusätzliche Brisanz erhält der Vorfall durch Metas Ausbau des KI-Angebots für Unternehmen. Erst Ende September stellte der Konzern Muse for Small Business mit Integrationen für Slack, Asana, Canva, Stripe und zahlreiche weitere Dienste vor. Über die Meta Enterprise Platform können Unternehmen zudem verschiedene KI-Produkte des Konzerns einsetzen. Muse soll unter anderem Kampagnen und Verkaufszahlen analysieren sowie Aufgaben aus verbundenen Diensten priorisieren.

Dafür benötigt der KI-Agent Zugriff auf teils vertrauliche Unternehmensinformationen. Die entdeckte Sicherheitslücke betrifft nach bisherigen Erkenntnissen die Freigabe von Muse-Konversationen, nicht den grundsätzlichen Zugriff auf verbundene Dienste. Werden Informationen daraus jedoch in einem Chat verarbeitet und anschließend geteilt, können auch sensible Geschäftsinhalte öffentlich auffindbar werden. Angesichts des rasanten Wachstums von Muse stellt sich damit umso dringlicher die Frage, wie zuverlässig Meta die Informationen schützt, die User und Unternehmen dem KI-Agent anvertrauen.

Die Meta Enterprise Platform ist da:
Muse und mehr AI für Unternehmen

Stelle OnlineMarketing.de als bevorzugte Quelle auf Google ein

Wenn du OnlineMarketing.de auf Google als bevorzugte Quelle einstellen möchtest, um auch in den Schlagzeilen auf Google immer aktuelle News und Tipps aus der Welt des Marketing und der Tech-Entwicklungen zu finden, kannst du einfach die Google-Quelleneinstellungen aufrufen und die Seite anwählen. Über das Stern-Icon neben den Top Stories kannst du ebenfalls bevorzugte Quellen für die spätere Suche speichern.