Meta menghentikan sementara fitur berbagi tautan percakapan asisten AI Muse pada 20 Oktober 2026 setelah firma keamanan siber Claroc menemukan lebih dari 6.800 tautan berbagi yang bisa dibuka siapa pun lewat catatan DNS publik, tanpa perlu masuk ke akun. Setiap tautan itu ternyata menyimpan judul percakapan di alamat situsnya, sehingga satu kali pencarian catatan DNS langsung memetakan ribuan tautan bagaikan daftar isi yang terbuka untuk umum.
Claroc menjelaskan bahwa Muse menamai alamat berbagi setiap percakapan sesuai judul percakapannya sendiri, lalu alamat itu tercatat di DNS publik. Dari pemetaan tersebut para peneliti membuka ratusan tautan dan menemukan data sensitif milik pengguna bisnis maupun pribadi, mulai dari jadwal rapat dengan laboratorium AI terdepan, aplikasi pinjaman usaha kecil, peringatan penipuan bank yang memuat sebagian nomor rekening, kalender libur karyawan, sampai dokumen internal perusahaan.
Laporan awal soal temuan ini ditulis Ars Technica. Menanggapi laporan tersebut, Meta mengatakan pihaknya menghentikan fungsi itu sementara sembari meninjau laporan dan mempertimbangkan perubahan cara tautan semacam itu bisa ditemukan. Juru bicara Muse Tracy Clayton mengatakan bahwa fitur tersebut dihentikan sementara. Claroc menyebut sudah melaporkan celah ini lewat program bug bounty Meta sejak 8 Oktober dan tidak menemukan bukti data yang bocor disalahgunakan. Setelah pembaruan Meta, sebagian tautan yang sebelumnya bisa dibuka peneliti sudah tidak bisa diakses lagi.
Cara Ribuan Tautan Terpetakan Sekaligus
Masalahnya berakar pada arsitektur tautan berbagi itu sendiri. Catatan DNS pasif mencatat bagaimana nama domain yang bisa dibaca manusia dipetakan ke alamat IP yang dibaca peramban, ibarat buku telepon untuk internet. Karena semua tautan berbagi Muse memakai nama domain yang sama dan menaruh judul percakapan di bagian depan alamat, satu kueri pencarian catatan DNS pasif langsung mengembalikan ribuan tautan yang tersusun rapi berdasarkan namanya.
Pola ini membuat tautan yang seharusnya bersifat privat justru mudah ditemukan mesin pencari catatan DNS. Pengguna yang membagikan tautan mungkin mengira hanya orang yang menerima tautan itu yang bisa membukanya, padahal siapa pun yang tahu cara mengueri catatan DNS publik bisa menemukan daftar tautan tersebut tanpa autentikasi sama sekali.
Pelajaran bagi Pengguna AI di Indonesia
Kasus ini menjadi peringatan keras bagi pengguna chatbot AI di Indonesia yang pernah membagikan tautan percakapan berisi data pribadi atau urusan pekerjaan. Tautan berbagi sebaiknya diperlakukan seperti dokumen publik, bukan pesan privat. Sebelum menekan tombol bagikan, pastikan percakapan tidak memuat nama lengkap, nomor identitas, data rekening, rahasia dagang, atau informasi internal perusahaan.
Ironisnya, kasus ini muncul tak lama setelah bos Meta Mark Zuckerberg menggadang Muse sebagai asisten AI yang dibangun dari nol dengan mengutamakan privasi. Insiden ini menunjukkan bahwa klaim privasi harus dibuktikan lewat desain teknis yang aman, bukan sekadar janji pemasaran. Bagi pengguna Indonesia, pelajarannya sederhana, bagikan hanya percakapan yang siap dibaca siapa pun, dan hapus atau cabut tautan berbagi yang sudah tidak diperlukan.
