Meta Muse déjà en faute : 6 800 conversations exposées via le DNS

Lancé le 8 septembre 2026 aux États-Unis, l'agent IA personnel Muse de Meta a déjà séduit plus de 2,5 millions d'utilisateurs américains au 23 septembre, selon TechCrunch. Un mois plus tard, la firme de sécurité Claroc révèle avoir retrouvé plus de 6 800 conversations privées partagées par des utilisateurs, accessibles à n'importe qui via une simple recherche DNS passive.

L'incident, rapporté par Le Figaro ce 22 octobre, n'a rien d'exotique dans sa cause : une fonctionnalité de partage de conversation mal conçue, qui transforme le titre de l'échange en URL publique. Pour les entreprises qui envisagent de déployer leur propre agent IA, c'est un cas d'école sur ce qui se passe quand on saute l'audit de sécurité pour aller vite.

01Un lancement éclair, un succès immédiat

Muse est présenté par Meta comme un agent IA personnel capable de naviguer sur le web, remplir des formulaires et effectuer des achats à la place de l'utilisateur. L'application a été ouverte aux adultes de 18 ans et plus aux États-Unis le 8 septembre 2026, selon AI Ireland.

L'adoption a été rapide : au 23 septembre, soit à peine deux semaines après le lancement, TechCrunch recensait plus de 2,5 millions de téléchargements sur le seul marché américain. C'est ce volume d'utilisateurs, qui ont commencé à partager leurs échanges avec l'agent pour obtenir de l'aide ou des conseils, qui a créé la surface d'exposition découverte par Claroc un mois plus tard.

02Le mécanisme : une URL prévisible, un DNS public

La fonctionnalité en cause est le partage de conversation. Quand un utilisateur de Muse partage un échange, l'application génère un lien public construit à partir du titre de la conversation (par exemple « loan-application-draft ») suivi d'une chaîne de caractères aléatoire, sur le domaine cf.metaaiusercontent.com. Problème : ce domaine est indexé dans les enregistrements DNS publics, consultables par n'importe qui via une recherche DNS passive.

Un annuaire involontaire des conversations privées

Claroc a ainsi pu dresser la liste de plus de 6 800 liens de conversations, classés par leur titre, sans avoir besoin de pirater quoi que ce soit : une simple requête technique standard a suffi.

« One passive-DNS search brings back thousands of them, listed by name, like a table of contents. »

03Ce qui s'est retrouvé exposé

Parmi les échanges accessibles, Dataconomy cite une demande de prêt pour une petite entreprise, une revue de chiffre d'affaires interne destinée à un PDG, et une alerte de fraude bancaire laissant voir une partie d'un numéro de compte.

Ce ne sont pas des échanges anodins du type « résume-moi cet article ». Ce sont exactement les cas d'usage que Meta met en avant pour vendre Muse : déléguer des tâches administratives et financières à un agent IA. La faille touche donc directement le cœur de la proposition de valeur du produit.

04La réaction de Meta : après coup, pas avant

Claroc a signalé la faille au programme de bug bounty de Meta le 8 octobre 2026. Mais selon Unite.AI, Meta n'a suspendu la fonctionnalité de partage qu'après avoir été interrogée par le média ayant enquêté sur ces découvertes, soit près de deux semaines plus tard.

Dans une déclaration relayée par Slashdot, Meta a confirmé : « we've paused this functionality while we review this report and consider changes to how these links can be discovered ». Autrement dit, l'entreprise corrige le symptôme (la découvrabilité des liens) sans que l'on sache encore si l'architecture même du partage va être revue.

05Pas un incident isolé : un zero-day macOS un mois plus tôt

Cette fuite via le DNS est la deuxième faille de sécurité révélée sur Muse en moins de deux mois. Mi-septembre 2026, le chercheur Patrick Wardle, d'Objective-See, avait déjà documenté une faille zero-day sur la version macOS de l'application, rapportée par generation-nt.com.

Un réglage de configuration non documenté, nommé endo_voyager_dictation_endpoint, permettait à un processus local non privilégié de rediriger le flux de dictée de Muse vers un serveur contrôlé par un attaquant. Deux failles, deux mois, deux mécanismes différents : le motif qui se dégage est celui d'un produit mis en production avant que les bases de sécurité (gestion des URLs publiques, validation des points de configuration) ne soient verrouillées.

06La leçon pour qui déploie un agent IA

Ce n'est pas la première fois qu'un agent IA grand public se fait prendre en défaut sur des bases de sécurité élémentaires. On l'a vu début septembre avec l'agent IA d'OpenAI qui a accédé sans autorisation à des sites publics en Australie. Le point commun : des fonctionnalités d'autonomie (navigation, partage, action pour le compte de l'utilisateur) livrées avant que les scénarios d'abus les plus évidents n'aient été testés. Pour le contexte, voir notre article sur l'étude d'Anthropic sur l'autoréplication des IA.

Pour une entreprise qui envisage d'intégrer un agent IA à son activité, qu'il s'agisse d'un outil grand public comme Muse ou d'un agent développé en interne, la question à se poser avant déploiement est simple : qu'arrive-t-il si un identifiant ou une URL générée automatiquement devient public ? La faille de Muse montre qu'une prévisibilité apparemment mineure (un titre de conversation dans une URL) suffit à transformer un outil de productivité en fuite de données à grande échelle.

Chris Waoo

Consultant SEO · fondateur de Cat's Eye Web

Écrit sur le SEO technique, l'IA et Google Discover à partir de tests terrain. Créateur de l'outil d'audit Cat's Eye. @ChrisWaoo