Meta Muse expõe quase 7 mil conversas com contratos e planilhas na internet

Uma falha de segurança no Meta Muse, agente de inteligência artificial da Meta, deixou quase 7 mil conversas acessíveis na internet por meio do recurso de compartilhamento por link. A falha foi identificada pela empresa de segurança digital Claroc, que a comunicou à Meta. Depois do alerta, a companhia suspendeu a ferramenta.

Segundo a Claroc, ao compartilhar uma conversa, o Muse publicava a interação como uma página aberta, que podia ser vista por qualquer pessoa com o link. Essas páginas também podiam ser localizadas por meio de títulos simples, baseados no tema do diálogo, e ficavam hospedadas no domínio público cf.metaaiusercontent.com. Na prática, a proteção era frágil e permitia acessar desde o assunto do chat até páginas inteiras com potenciais dados sensíveis.

Entre os exemplos encontrados estão contratos com nomes e valores, além de planilhas e calendários internos de empresas reais. A Claroc analisou apenas algumas centenas dos cerca de 7 mil links, número que, segundo a empresa, já basta para mostrar a dimensão do problema.

Enviar um documento por link é uma prática comum no trabalho, seja para calendários, textos no Google Docs ou apresentações. Serviços como o Google Drive costumam ter camadas adicionais de proteção, como login e senha. A Meta, por sua vez, havia apresentado o Muse com a privacidade como um dos pilares, usando máquinas virtuais próprias para cada usuário, o que impediria a própria empresa de acessar as interações.

Em nota, a Meta afirmou que a descoberta é de interesse do seu Programa de Recompensa por Bugs e que situações desse tipo são importantes para “aprimorar o produto”. A companhia informou que pausou o recurso enquanto realiza ajustes.

O alerta foi enviado à Meta em 8 de outubro. A Claroc afirma que voltou a acessar o material em 18 de outubro e ainda encontrou novas URLs de conversas. A empresa só afirmou ter pausado os novos compartilhamentos na terça-feira (20/10), após questionamentos da imprensa especializada. Isso significa que a funcionalidade permaneceu disponível por pelo menos 12 dias depois do aviso.

Por enquanto, o Meta Muse está disponível apenas nos Estados Unidos e no Canadá, sem previsão de chegada ao Brasil. O caso reforça a importância de revisar com cuidado o que é publicado por link em ferramentas de inteligência artificial, especialmente quando há informações de trabalho ou dados pessoais envolvidos.