MetaのAIエージェントMuseの共有ページに対応する6,800件超のホスト名がpassive DNSから発見された。調査主体Clarocの一次報告をもとに、発見の仕組み、機密資料の事例、Metaの共有機能停止、職場のAI共有ルールを検証する。
30秒でわかる / THE SIGNAL
6,800件超は発見された共有ホスト名の数であり、6,800件の機密情報流出を意味しない。Museは会話タイトルと識別子をホスト名に含め、passive DNS経由で第三者が共有ページを発見できた。共有リンクは『知っている人だけ』とは限らない。
6,800件超の「共有ページ」は何を意味するのか
2026年10月18日、セキュリティ企業ClarocはMetaのAIエージェントMuseの共有機能について調査を公表し、10月20日に更新した。研究チームはMuseの共有ページに使われるドメインについて商用passive DNSデータベースを検索し、ノイズを除いて6,800件超の共有ホスト名を確認した。数百件を実際に閲覧し、多くは一般的な内容だった一方、一部に個人や企業の機微な資料が含まれていたと報告している。
6,800件超は発見された共有ホスト名の数であって、6,800件の機密情報漏えいや被害者数ではない。研究者はすべての共有ページを調査したわけではなく、Muse全体の公開件数や第三者による悪用規模も不明だ。
なぜリンクを知らない第三者が発見できたのか
Museの共有機能は、会話のタイトルとランダムな識別子を組み合わせたホスト名を使っていた。共有先の人がページを開く際、ブラウザーがドメイン名の接続先を問い合わせるDNSの仕組みを利用する。こうした問い合わせの履歴がpassive DNSのデータベースに収集される場合、タイトルと識別子を含むホスト名が検索できるようになる。
識別子を推測する必要はない。ホスト名そのものが記録されるため、リンクを受け取っていない第三者でも共有ページを見つけられるという設計上の問題だ。検索エンジン向けのrobots.txtで巡回を制限しても、DNSの履歴を通じた発見や、ページへの直接アクセスを防げるわけではない。
見つかった資料は何だったのか
Clarocが例示したのは、CEO向けの社内売上レビュー、中小企業の融資申請、銀行の不正取引アラートを含むメモ、不動産投資の内部報告、従業員の年間休暇予定表、非公開の採用面談に向けた準備資料などだ。研究者は対象者の名前や実際の共有URLを伏せて報告した。
ただし、資料の作成者がどの範囲で公開するつもりだったか、誰が後から閲覧したかまでは確認できていない。Clarocは悪用の証拠を得ていないと明記している。機密性が高い資料が第三者から発見できた事実と、実際に悪用されたかどうかは分けて考える必要がある。
Metaは共有機能を停止。対策はどこまで確認されたか
Clarocは10月8日にMetaの脆弱性報告窓口へ調査内容を伝えた。10月20日には、Ars Technicaからの問い合わせ後にMetaが共有機能を停止すると説明したことをClarocが追記している。同日、研究者が以前ログインなしで開けた40件を再確認したところ、すべてアクセスできず、コンテンツ提供先のホスト名がエラーを返した。
これは対策が進んだことを示すが、すべての共有ページの無効化や、過去のDNS履歴からホスト名が消えたことまでは意味しない。Clarocは、会話タイトルを含むホスト名がpassive DNSの履歴に残っているとも指摘している。
『リンクを知る人だけ』と『リンクを発見できない』は違う
共有URLを発行すると、リンクを受け取った相手だけが閲覧すると思いがちだ。しかし、リンク先が認証不要で公開されている場合、そのURLを第三者が入手すれば閲覧できる。さらにMuseの事例では、共有ページのタイトルと識別子がDNSの検索対象となり、URLを発見する経路が生まれた。
この問題はMuseの具体的な設計と調査結果に関するもので、他のAIサービスすべてに同じ脆弱性があるという証拠ではない。共有方式はサービスによって異なる。閲覧にログインが必要か、アクセス権を限定できるか、リンクを無効化できるかを個別に確認したい。
職場で今すぐ確認したいAI共有ルール
企業やチームでは、AIに何を入力してよいかだけでなく、AIの出力や会話を誰に共有してよいかを明文化する必要がある。具体的には、①顧客情報・個人情報・未公開資料を含む会話を公開リンクで共有しない、②共有前に閲覧権限とログイン要否を確認する、③不要になった共有リンクは可能な範囲で無効化する、④過去に作成した共有リンクを棚卸しする、という四つが出発点になる。
管理職は『AIは使うな』と一律に禁止するより、共有してよい資料と社内承認が必要な資料を例示した方が運用しやすい。情報システム担当者は、業務で使われているAIサービスを把握し、共有リンクの生成を監視・制限できるかを確認したい。
WORK SIGNALの視点：AI利用の安全性は「出口」でも決まる
生成AIの情報管理は、機密情報を入力しないという入口対策だけでは完結しない。要約や分析を終えた後、会話全体を共有する操作が外部公開に相当する場合もある。今回の問題は、使いやすい共有機能が意図しない発見可能性を生むことを示した。
まずは職場で使っているAIの共有機能を一つずつ確認し、『誰が閲覧できるか』『第三者がURLを発見できるか』『後から取り消せるか』をチェックしたい。安全なAI活用は、利用を萎縮させることではなく、安心して使える境界を具体的に示すことから始まる。
一次情報：Claroc GhostShares（10月18日公開・20日更新） https://blog.claroc.io/ghostshares-muse-passive-dns/ Meta公式・Muse製品紹介：https://about.fb.com/ja/news/2026/09/introducing-muse-personal-ai-agent/ Metaによる停止の説明は報道機関への回答であり、独立したMeta公式声明の全文は確認できていない。