Eine Funktion, die eigentlich Komfort bringen sollte, wurde zur Datenschleuder: Metas KI-Assistent Muse erlaubte es, Chat-Verläufe über einen Link zu teilen. Das Problem: Diese Links waren für Außenstehende auffindbar wie ein Inhaltsverzeichnis — ganz ohne Hacking-Aufwand.
WIE DER FEHLER FUNKTIONIERTE
Die Sicherheitsfirma Claroc fand heraus, dass Muse beim Teilen eines Chats eine Web-Adresse erzeugte, die den Titel der Unterhaltung direkt in die URL einbettete — und diese Adresse landete in öffentlichen DNS-Einträgen. Wer diese DNS-Einträge systematisch abfragt, eine sogenannte passive DNS-Suche, bekommt die Liste aller geteilten Chat-Titel quasi serviert. Kein Passwort, kein Login, keine Schwachstelle im klassischen Sinn — nur ein Design, das niemand zu Ende gedacht hatte.
SCHOCK! 6.800 Gespräche lagen offen
Claroc konnte auf diesem Weg rund 6.800 geteilte Muse-Unterhaltungen einsehen. Darunter waren laut den Forschern unter anderem:
- Besprechungstermine mit Beteiligung eines großen KI-Labors
- Ein ausgefülltes Kleinkredit-Antragsformular
- Ein Betrugsalarm der eigenen Bank — mit teilweisen Kontonummern
- Der interne Urlaubskalender eines Unternehmens
- Weitere vertrauliche Firmendokumente
Diese Beispiele zeigen das eigentliche Risiko solcher Leaks: Es sind selten spektakuläre Staatsgeheimnisse, sondern genau die alltäglichen, aber sensiblen Dinge, die Menschen einer KI anvertrauen, weil sie sich unbeobachtet fühlen.
METAS REAKTION
Nach der Meldung von Claroc hat Meta die Teilen-Funktion pausiert. Gegenüber Ars Technica erklärte das Unternehmen: „Wir haben diese Funktion pausiert, während wir den Bericht prüfen und Änderungen daran erwägen, wie diese Links auffindbar sein können.“ Nach dem Update konnten die Forscher die zuvor gefundenen Links nicht mehr aufrufen.
EINE WICHTIGE EINORDNUNG
Das ist eine andere Geschichte als die kürzlich veröffentlichte, kostenlose Veröffentlichung eines großen Muse-KI-Modells — hier geht es ausschließlich um die Teilen-Funktion für Chats und wie sie technisch umgesetzt wurde. Für Nutzer heißt das konkret: Nicht die KI selbst hat etwas „verraten“, sondern die Art, wie geteilte Links im Netz sichtbar wurden.
WAS DU JETZT TUN SOLLTEST
Wenn du jemals einen Muse-Chat über die Teilen-Funktion freigegeben hast, lohnt sich ein kurzer Rückblick: Welche Informationen standen in diesem Gespräch? Die Funktion selbst ist aktuell pausiert, betroffene Links sollen inzwischen nicht mehr öffentlich erreichbar sein — ein Ersatz dafür ist aber kein Grund, in Zukunft sorgloser mit „geteilten“ Inhalten umzugehen. Grundsätzlich gilt bei jedem KI-Chat: Alles, was du tippst, solltest du so behandeln, als könnte es irgendwann sichtbar werden.
FAZIT: Ein Designfehler, kein Hack
Der Muse-Fall zeigt ein Muster, das bei KI-Produkten immer wieder auftaucht: Neue, bequeme Funktionen wie „Chat teilen“ werden schnell ausgerollt, die Sicherheitsarchitektur dahinter aber nicht immer zu Ende durchdacht. Diesmal reichte eine öffentlich zugängliche Datenbank — das DNS-System selbst — um tausende private Unterhaltungen sichtbar zu machen.