Meta a annoncé la mise en pause d’une fonctionnalité de son assistant Intelligence artificielleEnsemble de techniques permettant à des machines d'accomplir des tâches nécessitant habituellement certaines capacités humaines, comme la reconnaissance, la prédiction ou la prise de décision., Muse, qui permettait de partager une conversation sous forme de lien web. Cette décision fait suite à un rapport d’une société de cybersécurité qui a montré que plus de 6 800 liens étaient accessibles grâce à des enregistrements DNS publics, exposant ainsi des informations sensibles.

Un mécanisme de partage trop transparent

Muse propose aux utilisateurs de créer un lien contenant le titre de la conversation, une courte description et un identifiant aléatoire. En théorie, seule la personne disposant du lien peut consulter le contenu. En pratique, la façon dont le nom d’hôte était construit révélait le sujet du partage. Le rapport de Claroc indique que le nom d’hôte incluait le titre et l’identifiant, ce qui a permis de reconstituer les URL à partir de la base de données DNS, un annuaire public qui mappe les noms de domaine aux adresses IP.

Grâce à cette faille, les chercheurs ont pu récupérer des conversations contenant des données variées : un examen des revenus d’une société de marketing, la demande de prêt d’un petit commerçant, le calendrier complet d’une équipe sur toute une année, voire des notes de préparation d’un entretien d’embauche dans un laboratoire d’IA. Aucun de ces contenus n’était destiné à être visible en dehors du propriétaire du lien.

La réaction de Meta

Tracy Clayton, porte‑parole de Muse, a confirmé dans un courriel à The Verge que la fonction était désormais suspendue le temps d’une révision. Elle a précisé que Meta envisageait de modifier la manière dont les liens sont générés et découverts afin d’empêcher toute indexation non autorisée.

Cette pause intervient alors que les services d’assistants IA se multiplient et que la question de la confidentialité des échanges devient cruciale. La société n’a pas encore indiqué un calendrier de remise en ligne du partage, ni les changements techniques qui seront apportés.

Un problème récurrent pour les IA conversationnelles

Muse n’est pas le premier service à rencontrer ce type de débordement. Des chercheurs ont déjà repéré des conversations issues de ChatGPT d’OpenAI, de Claude d’Anthropic et de Grok de Explainable AIEnsemble de méthodes visant à rendre les résultats ou le fonctionnement des systèmes d'intelligence artificielle plus compréhensibles. qui se sont retrouvées indexées par les moteurs de recherche. Dans la plupart des cas, il s’agit de liens générés automatiquement à partir de fonctionnalités de partage, puis découverts par des robots d’indexation.

Ces incidents soulignent la difficulté de concilier la facilité de partage et la protection de la vie privée. Un lien simple à copier peut devenir une porte d’entrée pour quiconque possède les compétences nécessaires pour le retrouver dans les bases publiques.

Conséquences pour les utilisateurs

Pour les utilisateurs de Muse, la suspension du partage signifie qu’ils ne pourront plus envoyer directement leurs conversations à des collègues ou partenaires via un lien. Ils devront recourir à des alternatives comme le copier‑coller ou l’export PDF, qui offrent un contrôle plus strict sur la diffusion.

Sur le plan plus large, l’incident rappelle l’importance de vérifier les paramètres de confidentialité avant d’utiliser des fonctions de partage. Même lorsqu’un service promet que le lien est « privé », la manière dont il est structuré peut rendre le contenu vulnérable à des fouilles automatisées.

Que peut‑on attendre de la suite ?

Meta a indiqué qu’elle « réexamine le rapport et considère des changements ». Les solutions possibles incluent : la génération d’identifiants totalement aléatoires sans référence au titre, l’obligation d’une authentification avant d’afficher le contenu, ou l’ajout d’une couche de protection contre l’indexation par les moteurs de recherche.

Quel que soit le choix, la mise en œuvre devra être rapide pour regagner la confiance des utilisateurs, qui sont de plus en plus conscients des risques liés à la divulgation involontaire de données sensibles.

Une leçon pour l’ensemble du secteur

L’affaire Muse montre que la simple exposition d’un nom de domaine dans les enregistrements DNS suffit à rendre visibles des informations que l’on pensait privées. Les développeurs d’assistants IA devront désormais intégrer la confidentialité dès la phase de conception, en évitant les schémas d’URL prévisibles.

En outre, les équipes de sécurité des entreprises utilisatrices devront surveiller régulièrement les espaces publics (DNS, moteurs de recherche) afin de détecter d’éventuelles fuites. Une veille proactive pourrait permettre d’intervenir avant que des données confidentielles ne circulent largement.

Perspective

Si Meta parvient à renforcer la sécurité du partage tout en conservant la praticité du service, Muse pourra redevenir un outil de collaboration apprécié. Dans le cas contraire, les utilisateurs pourraient se tourner vers des alternatives offrant des garanties plus solides, comme des plateformes de messagerie chiffrée ou des assistants intégrés à des environnements d’entreprise stricts.