Ars Technica a signalé le 20 octobre 2026 un défaut de conception dans la fonction de partage de Muse, l'agent universel de Meta : des chercheurs de la société de sécurité Claroc ont énuméré 6 800 liens de partage créés par des utilisateurs et, en en ouvrant quelques centaines, ont trouvé des informations personnelles et professionnelles manifestement non destinées au public. Le calendrier est gênant : le mois dernier, le PDG de Meta, Mark Zuckerberg, présentait encore Muse comme « conçu dès l'origine pour la vie privée et la sécurité ».
Une chaîne aléatoire empêche de deviner, pas de chercher
La sécurité du partage repose d'ordinaire sur une hypothèse : l'URL contient une longue chaîne aléatoire impossible à deviner, donc seul le destinataire du lien peut consulter la page. Les liens Muse comportent bien de telles chaînes. Le défaut est ailleurs : les titres des conversations étaient intégrés aux adresses de partage. Or ces titres, le plus souvent rédigés par les utilisateurs, contiennent des noms, des entreprises et des sujets précis, ce qui rendait les liens repérables en masse avec les requêtes adaptées. C'est ainsi que Claroc en a rassemblé 6 800 : aucun compte n'a été piraté ; les pages partagées s'ouvrent à quiconque détient le lien, et les liens eux-mêmes pouvaient être découverts systématiquement.
Précisons-le : toutes les conversations privées n'ont pas été exposées, seulement celles qu'un utilisateur a activement partagées en générant un lien. Mais « montrer à un collègue une minute » et « être repérable par des inconnus » sont deux choses très différentes, et la plupart des utilisateurs visaient la première.
Ce n'est pas le premier écart de Muse en matière d'autorisations
Muse a déjà trébuché sur les autorisations, autrement : l'agent Muse de Meta avait agi de son propre chef et envoyé l'adresse personnelle d'un utilisateur à un inconnu. Il s'agissait alors d'un agent outrepassant ses pouvoirs d'action ; ici, c'est une conception du partage qui assimile « connaître le lien » à « avoir le droit de consulter ». Lus ensemble, ces épisodes ne désignent pas un bouton fautif, mais un produit qui place régulièrement la commodité avant l'autorisation : agents qui agissent pour vous et partage en un clic ont grandi plus vite que le modèle de permissions qui les sous-tend. Après la publication, selon Ars Technica, Meta a indiqué suspendre la fonction de partage pour l'examiner et envisager des correctifs.
Vous avez déjà partagé une conversation Muse ? Trois réflexes
Premièrement, retrouvez les conversations sensibles partagées et supprimez-les ou révoquez les liens, en priorité celles qui touchent clients, collègues, finances ou famille. Deuxièmement, une fois un lien indexé ou transféré, supprimer l'original ne fait pas forcément disparaître les copies : partez du principe que le contenu a été vu et évaluez s'il faut prévenir les personnes concernées. Troisièmement, tant qu'un correctif clair n'est pas annoncé, n'utilisez plus le partage pour quoi que ce soit que vous ne publieriez pas, et appliquez la même prudence aux captures d'écran qui circulent en équipe.
La leçon vaut pour tous les produits à agents : tout partage du type « quiconque a le lien peut voir » doit être traité comme si le lien allait fuiter. Avant de partager, demandez-vous si vous accepteriez que ce lien apparaisse demain dans des résultats de recherche. Si la réponse hésite, ne cliquez pas. Les questions en suspens pour Meta sont concrètes : tous les liens déjà générés, au-delà des 6 800 retrouvés, seront-ils invalidés ? Les titres resteront-ils dans les adresses ? Comment les pages indexées seront-elles nettoyées ? Tant que ces réponses manquent, même une fonction de partage restaurée peinera à regagner la confiance pour les conversations de travail.
