Vulnérabilité de l'IA Muse de Meta : des données d'utilisateurs exposées

Une faille de sécurité majeure dans l'assistant IA Muse de Meta a accidentellement exposé des données confidentielles d'utilisateurs et d'entreprises. La vulnérabilité provenait de la structure des liens de partage : les titres des conversations étaient intégrés directement dans le sous-domaine de l'adresse web, ce qui les rendait faciles à repérer grâce à des recherches DNS passives.

Des informations sensibles facilement accessibles

Des milliers de liens contenant des informations sensibles, comme des rapports financiers et des communications personnelles, pouvaient être découverts sans effort. Meta a réagi en désactivant la fonction de partage afin d'enquêter sur le problème, mais des experts ont exprimé leurs inquiétudes quant aux conséquences de cette fuite.

Comparaison avec les anciens scandales de confidentialité

Des experts ont comparé cette atteinte à la vie privée au scandale Cambridge Analytica. Meta présente Muse comme un assistant IA sécurisé et respectueux de la vie privée, mais la récente faille a sérieusement remis en question ces affirmations. Muse fonctionne au sein d'une machine virtuelle dédiée qui héberge à la fois l'assistant et les données des utilisateurs, or sa conception a conduit à de graves problèmes de sécurité.

Des experts en sécurité mettent en garde contre une collecte de données intrusive

Les premières expériences des utilisateurs avec Muse ont mis en évidence de sérieuses préoccupations en matière de sécurité. The Future Society et le chercheur Karan Joshi ont souligné que Muse recueille une grande quantité de données à partir des photos et des messages des utilisateurs afin de constituer des profils détaillés de leur environnement. Cette approche a été qualifiée de « particulièrement alarmante » en raison de son caractère intrusif.

Des liens web qui exposent des données confidentielles

Une vulnérabilité majeure dans l'architecture de Muse permet d'exposer des données confidentielles personnelles et professionnelles lorsque les utilisateurs partagent leurs conversations par le biais de liens web. Contrairement aux services en ligne standard, qui utilisent des caractères aléatoires dans leurs URL pour les rendre difficiles à deviner, Muse intègre directement les titres des conversations dans le sous-domaine. Cela rend les liens facilement identifiables dans les systèmes DNS passifs.

Des chercheurs découvrent des milliers de liens vulnérables

La société de sécurité Claroc a découvert 6 800 liens créés par des utilisateurs de Muse grâce à une seule requête. Ces liens, appelés « GhostShares », peuvent être consultés par n'importe qui, y compris par des personnes à qui le lien n'a jamais été envoyé. L'examen de ces liens a révélé des informations très sensibles, notamment des rapports internes, des données financières et des communications personnelles.

Meta répond aux préoccupations de sécurité

Meta a reconnu la vulnérabilité après avoir été alertée par le chercheur en sécurité Asaf Aprozper au début du mois d'octobre. L'entreprise a suspendu la fonctionnalité et a déclaré qu'elle la réévaluerait. Cet incident survient alors que les inquiétudes grandissent quant aux capacités de Muse, qui incluent l'exécution de tâches telles que le remplissage de formulaires et la passation de commandes.

Les antécédents de Meta en matière de vie privée

Des experts en sécurité ont mis en garde les utilisateurs contre la confiance accordée aux assurances de Meta en matière de confidentialité, en citant ses problèmes passés, dont le scandale Cambridge Analytica. Muse nécessite un accès étendu aux informations personnelles des utilisateurs, y compris aux mots de passe et aux données financières, ce qui soulève des inquiétudes quant à ses répercussions sur la vie privée et le bien-être mental.

Le potentiel d'utilisation abusive de Muse

La journaliste Eli Tan a décrit l'utilisation de Muse comme déstabilisante, la comparant à un abandon de ses capacités cognitives. L'autrice Ariana Bindman a comparé Muse à un « panoptique numérique déguisé en fée », soulignant que l'entreprise accorde davantage d'importance au marketing qu'à la vie privée des utilisateurs.

Une faille de type « jour zéro » découverte

Le chercheur en sécurité Patrick Wardle a découvert dans Muse une faille de type « jour zéro » qui permettait aux attaquants de contourner les autorisations et d'accéder à des données sensibles ainsi qu'au matériel, sans le consentement de l'utilisateur. Meta a corrigé cette faille à la fin de septembre 2026, mais les inquiétudes concernant la sécurité de l'application restent très vives.

Appel à la prudence des utilisateurs

Des experts exhortent les utilisateurs à faire preuve de prudence avant de partager leurs données personnelles avec Meta. Ils remettent en question la fiabilité de la direction de l'entreprise, en particulier en matière de confidentialité et de traitement des données. Les problèmes de sécurité persistants de Muse ont sérieusement mis en doute sa fiabilité et la sûreté des informations de ses utilisateurs.