Chat condivise: le ha tradite il titolo

Immagina di usare Muse, l’agente AI di Meta, per preparare la domanda di prestito della tua attività. Cifre comprese. Poi gli chiedi di condividerla con il commercialista, così la guarda anche lui.

Il link lo mandi a una persona sola. L’indirizzo, però, lo costruisce Muse. E dentro ci mette il titolo della conversazione.

Da quel momento la tua pratica ha un nome scritto in chiaro, in un posto dove può essere registrato. E chi sa dove guardare può trovarla da solo.

Claroc, una società di sicurezza, racconta un caso vero molto simile: su Muse ha trovato più di 6.800 chat condivise, elencate per nome, con una sola ricerca. Fra le poche centinaia che ha aperto c’era la domanda di prestito di un piccolo imprenditore, con la cifra richiesta.

Il codice segreto c’era. Nell’archivio stava scritto accanto al titolo.

Il rapporto di Claroc porta la data del 18 ottobre. Ars Technica, che ha raccontato la storia oggi alle 14:33 ora italiana, scrive che i ricercatori l’hanno resa nota lunedì; un’ora e mezza dopo l’ha ripresa anche Quartz. Muse da noi non si può usare. Ma il gesto da cui nasce tutto lo fai anche tu, magari ogni settimana: premi «condividi» e mandi un link.

Cosa hanno trovato

Muse è l’agente personale che Meta ha lanciato l’8 settembre negli Stati Uniti. Ci scrivi come a una persona e lui manda email, compila moduli, prenota, compra: ne ho parlato a proposito di Muse Wonder, il nuovo modello di Meta. Fra le cose che sa fare c’è condividere una conversazione: la pubblica come pagina web e ti dà un link da mandare.

Quella pagina si apre per chiunque abbia il link. Senza account, senza password. Claroc lo dice chiaro: è voluto. Muse condivide solo così, e una pagina pubblica è l’unico modo perché il collega a cui la mandi riesca ad aprirla.

Un mese dopo il lancio, i ricercatori hanno interrogato un servizio commerciale di DNS passivo (fra poco spiego cos’è) e hanno chiesto tutti gli indirizzi sotto cf.metaaiusercontent.com, il dominio da cui Muse serve le chat condivise. Tolto il rumore, sono rimasti più di 6.800 nomi. Ne hanno aperti solo qualche centinaio. Quasi tutte quelle ancora attive si aprivano subito, senza nessuna schermata d’accesso.

La maggior parte era roba innocua: siti di piccole attività, annunci, calendari di eventi. Pagine che il proprietario, con ogni probabilità, voleva far vedere. Una minoranza, invece, conteneva informazioni chiaramente sensibili. Claroc ne descrive sei, solo per categoria, senza nomi né link:

• gli appunti di un candidato per una chiamata riservata di selezione, per un ruolo dirigente in un laboratorio di intelligenza artificiale, con il nome del contatto interno e l’ora dell’incontro;
• la revisione interna dei ricavi di un’azienda di marketing nazionale, indirizzata al suo amministratore delegato;
• la domanda di prestito di un piccolo imprenditore, con la cifra richiesta;
• una lista di cose da fare con dentro un avviso di frode bancaria, un numero di conto parziale, l’importo e l’ora della transazione;
• il rapporto interno di un investitore immobiliare, con due indirizzi e le cifre esatte di rendimenti, entrate e mutuo;
• il calendario delle ferie di un anno intero di un’azienda, con decine di dipendenti e la settimana in cui ognuno sarebbe stato via.

Lo stesso tipo di pagine, aggiunge Claroc, si trova anche su urlscan.io, un servizio pubblico che analizza gli indirizzi web e che chiunque può interrogare: lì ci sono più di 75 scansioni salvate di chat condivise da Muse.

I ricercatori dicono di non aver forzato niente: hanno aperto solo pagine che si caricavano da sole, e una che chiedeva una password l’hanno lasciata stare. I contenuti li hanno controllati il 7 e l’8 ottobre; il 18 hanno riaperto una sola pagina, per una foto dello schermo. Dicono anche cosa non sanno: è un solo canale, su un solo prodotto, in una finestra di tempo breve. Non è la misura di quante chat siano esposte, e non sanno da quanto tempo quelle pagine fossero raggiungibili, né se qualcuno le abbia trovate prima di loro.

Bastava sapere dove guardare. E la pagina, per come è fatto Muse, si apriva a chiunque avesse l’indirizzo.

Come un titolo diventa un indirizzo pubblico

Per capire cosa è successo serve una parola tecnica: DNS. È la rubrica telefonica di internet. Quando apri un indirizzo, il tuo telefono o il tuo computer chiede a un server: a quale macchina corrisponde questo nome? La rubrica risponde e la pagina arriva.

Alcuni servizi tengono traccia di quelle domande e di quelle risposte, raccolte da sensori messi lungo la strada. Si chiama DNS passivo: un archivio storico dei nomi che sono stati cercati. Serve, fra le altre cose, a chi si occupa di sicurezza. Ci sono servizi commerciali che lo vendono, e chi ha accesso può interrogarlo.

Di solito i link di condivisione si proteggono con un codice lungo e casuale, impossibile da indovinare. Muse lo usa. Ma ogni chat condivisa ha un nome suo, e davanti al codice Muse mette il titolo della conversazione, una frase breve che dice di cosa parla. Claroc fa qualche esempio, inventato apposta per non esporre nessuno: home-sale-budget-9f21c8a3.cf.metaaiusercontent.com, cioè «budget per la vendita di casa», oppure loan-application-draft-a4c9e2, «bozza della domanda di prestito».

Quando il destinatario apre il link, il suo dispositivo chiede quel nome alla rubrica. Se la domanda passa da uno dei punti osservati da un servizio di DNS passivo, spiega Ars Technica, il nome resta in archivio. Intero: titolo e codice casuale.

Per chi trova quell’indirizzo nell’archivio, il codice non è più un segreto. Serviva a non farsi indovinare, e qui non c’è niente da indovinare: l’indirizzo è già scritto in un elenco. Il titolo, intanto, fa un’altra cosa. Dice quali pagine vale la pena aprire. Claroc lo descrive come un indice: le chat condivise, una per riga, con il loro nome.

Meta una precauzione l’aveva presa. Il file che dà istruzioni ai motori di ricerca, il robots.txt, chiede ai programmi dei motori di ricerca e dell’AI che girano il web di stare lontani dalle pagine condivise. Ma quel file è un cartello, non una serratura: regola chi passa a leggere le pagine, non chi le può aprire. E la ricerca di Claroc dai motori di ricerca non è mai passata.

Il cartello vale per chi sceglie di rispettarlo. E l’indirizzo, intanto, era già in archivio.

Il titolo è già il contenuto

Chi fa comunicazione lo impara presto: il titolo è la parte più letta di qualunque testo. Molti si fermano lì. Per questo lo scrivi in modo che basti da solo, che dica la cosa al primo sguardo.

È esattamente il motivo per cui qui diventa un rischio.

Un buon titolo è un riassunto. «Revisione dei ricavi del terzo trimestre» non ti dà le cifre, ma ti segnala che lì dentro, probabilmente, ci sono informazioni economiche riservate. E ti aiuta a scegliere cosa aprire. Per chi vuole fare del male, scrive Claroc, un elenco così è una scorciatoia: gli basta scorrerlo e scegliere.

Claroc aggiunge un’osservazione che mi sembra la più acuta di tutto il rapporto. La biografia del candidato di quella chiamata riservata, probabilmente, si poteva ricostruire da fonti pubbliche. L’incontro no. Chi parla con chi, di nascosto, e quando. La pagina condivisa costruiva un fatto privato con pezzi pubblici, e lo consegnava a chiunque sapesse cercare.

Pensiamo sempre a proteggere il contenuto. Spesso basta l’etichetta.

Meta, il progetto e la parola «sicuro»

Il mese scorso, ricorda Ars Technica, Mark Zuckerberg aveva presentato Muse come costruito «da zero per la privacy e la sicurezza». È una frase importante, perché Muse per lavorare chiede accesso alla maggior parte dei tuoi account. Senza fiducia, un agente così non serve a niente.

Claroc ha segnalato il problema al programma con cui Meta premia chi trova falle, l’8 ottobre, con le istruzioni per riprodurlo e qualche esempio. Asaf Aprozper, cofondatore e direttore tecnico, ha scritto ad Ars Technica di non aver mai ricevuto risposta. E ha aggiunto la frase che conta: dopo aver guardato piattaforme simili, sentito colleghi del settore e riletto la documentazione di Muse, hanno concluso che quel comportamento è voluto. Quando Ars Technica ha pubblicato, un rappresentante di Meta non aveva ancora risposto alle domande della testata. Nell’ultimo controllo del DNS passivo, scrive Claroc, sono comparsi 27 nuovi nomi in un giorno, senza che i ricercatori siano tornati ad aprire le pagine.

Secondo Claroc, quindi, la condivisione pubblica è prevista dal funzionamento del prodotto. Il rapporto mostra però anche un’altra cosa: per come sono costruiti gli indirizzi, le pagine si ritrovano anche senza aver mai ricevuto il link. Su questo, nelle fonti che ho letto, Meta non ha detto nulla.

Quando un comportamento è previsto, la correzione spetta a chi progetta il prodotto. La prudenza, nel frattempo, spetta a te.

Non è l’unico episodio di queste settimane. Ars Technica ricorda che, tre settimane dopo il lancio, l’esperto di sicurezza dei Mac Patrick Wardle aveva trovato una falla che permetteva a un’altra app installata sullo stesso dispositivo di prendere il controllo dell’account Muse, e che Meta ne aveva ridimensionato la gravità. E ieri Fortune ha raccontato di un creator di Toronto che a fine settembre aveva lasciato a Muse la vendita di una tastiera su Facebook Marketplace: l’agente ha chiuso l’accordo da solo e ha dato all’acquirente il suo indirizzo di casa. L’acquirente si è presentato di notte. Meta, scrive Fortune, l’ha contattato per capire cosa fosse andato storto. Un agente che agisce per conto tuo fa anche cose che tu non avresti fatto: è il filo che lega molte storie recenti, compresa quella dell’agente AI che durante una prova ha scritto alla polizia.

Una nota di onestà, che vale per ogni rapporto di questo tipo. Claroc vende proprio un’estensione per il browser che avvisa l’azienda quando un dipendente crea un link pubblico in un assistente AI. Ha tutto l’interesse a raccontare questo rischio. Il rapporto però dichiara i suoi limiti e protegge le persone coinvolte. Ars Technica e Quartz hanno riportato i risultati attribuendoli a Claroc: nei loro articoli non c’è una verifica indipendente delle pagine.

Chi vende la cura ha interesse a mostrarti la malattia. Per questo i dati si leggono con i loro limiti, e qui i limiti sono scritti nero su bianco.

Già visto, con una differenza

Le chat condivise che diventano pubbliche non sono una novità. Nell’estate del 2025 Fast Company trovò su Google più di 4.500 conversazioni di ChatGPT condivise, alcune con nomi, curriculum, sfoghi personali, lavoro riservato. Erano finite lì perché, condividendole, si poteva spuntare una casella per renderle trovabili dai motori di ricerca. OpenAI tolse l’opzione, parlando di un «esperimento di breve durata». Poche settimane dopo, secondo Forbes ripresa da 9to5Mac, più di 370.000 chat di Grok, l’assistente di xAI, risultavano pubblicate e indicizzate, senza che gli utenti fossero stati avvisati.

La lezione, da allora, sembrava chiara: tenere le pagine condivise fuori dai motori di ricerca. Muse l’ha seguita. E la fuga è passata da un’altra parte.

E in Italia?

Muse qui non si può usare. È partito negli Stati Uniti a settembre, è arrivato in Canada a metà mese, e per l’Europa Meta non ha annunciato date (lo scriveva Notebookcheck il 13 ottobre, ed è quello che risultava anche a me il 12). Il caso riguarda un servizio che, secondo le fonti, in Italia ufficialmente non c’è ancora.

Il pulsante «condividi», invece, ce l’hai. Su ChatGPT, su Claude, su Gemini. E anche Meta AI, secondo la sua pagina d’aiuto, condivide le conversazioni con un link. Per le condivisioni pubbliche le guide ufficiali dicono la stessa cosa, con parole diverse; negli spazi aziendali di ChatGPT e Claude valgono restrizioni in più.

OpenAI scrive che chiunque abbia un link creato da un account personale può vedere la conversazione condivisa. Per gli account personali il link mostra la chat com’era quando l’hai creato o aggiornato: i messaggi successivi non si aggiungono da soli. I link fatti negli spazi di lavoro di ChatGPT Business, Enterprise ed Edu si aprono solo per i membri dello stesso spazio, e lì possono includere anche i messaggi successivi. E la guida avverte: niente informazioni sanitarie, dati finanziari, password o numeri di conto nei contenuti che condividi, perché anche nomi e dati personali scritti nella conversazione possono vedersi. Un dettaglio che, dopo la storia di Muse, suona diverso: il titolo di un’attività programmata (un compito che ChatGPT esegue da solo, una cosa diversa dalla chat) può comparire nell’anteprima del link, scrive OpenAI.

Anthropic spiega che le chat di Claude sono private finché non premi «Share»: da lì in poi chiunque abbia il link vede un’istantanea della conversazione, senza i file allegati. Nei piani Team ed Enterprise la condivisione resta dentro l’organizzazione.

Google è la più esplicita: quando condividi una chat di Gemini viene creato un link pubblico, e chi lo ha può leggerla, ricondividerla e, salvo alcune eccezioni, continuarla per conto suo. Anche se non l’hai mandato a lui. Le immagini che avevi caricato diventano scaricabili.

Per Meta AI, secondo la pagina d’aiuto citata da Claroc, chi ha il link vede la conversazione, il link non scade e chi lo riceve può passarlo ad altri. Come siano costruiti gli indirizzi dei link di Meta AI qui da noi non sono riuscito a verificarlo.

Nelle guide di ChatGPT e di Gemini i link cominciano con chatgpt.com/share/ e g.co/gemini/share/, seguiti da un codice: nell’esempio di Google, g.co/gemini/share/abcxyz, il titolo non c’è. È una differenza rispetto a quello che Claroc descrive su Muse. Ma per i link pubblici resta la regola di fondo: il link è una chiave, e le chiavi si copiano.

Il pulsante ha un nome gentile, «condividi». Google gli dà quello vero: link pubblico.

Come portarlo nel tuo lavoro

La storia di Muse suggerisce qualche precauzione concreta, prima di premere quel pulsante. Ecco come la tradurrei in abitudini, per te e per chi lavora con te.

1. Un link pubblico è una pubblicazione. Prima di premere il pulsante, rileggi la chat come se dovesse finire su un giornale. Se dentro ci sono dati di clienti, cifre di una trattativa, situazioni di salute o di soldi, il link è il mezzo sbagliato. Le cose da tenere fuori sono le stesse di cui ho parlato in Cosa non scrivere mai in ChatGPT; qui vale doppio, perché la chat non resta più fra te e l’assistente.
2. Guarda cosa racconta il link prima di mandarlo. Su Muse il titolo della conversazione è finito nell’indirizzo; su ChatGPT, scrive OpenAI, il titolo di un’attività programmata può comparire nell’anteprima. Prima di mandare un link, controlla l’anteprima e l’indirizzo. Io aggiungo una precauzione: se il titolo della chat dice troppo, cambialo con qualcosa di neutro e ricontrolla l’anteprima. «Bozza per Marco» dice molto meno di «domanda di prestito con le cifre». Contro un difetto come quello di Muse, dove nell’archivio finiva anche il codice, il titolo neutro serve a poco: riduce soltanto quello che il link racconta a chi lo vede.
3. Per le cose riservate, manda il testo, non il link. Copia la parte che serve in una mail o in un documento che controlli tu, con i permessi che scegli tu. Oppure usa gli spazi di lavoro aziendali: con ChatGPT Business, Enterprise ed Edu e con Claude Team ed Enterprise i link restano dentro l’organizzazione.
4. Fai pulizia una volta al mese. In ChatGPT, nei controlli sui dati (Data controls), alla voce «Shared links» premi «Manage»: per cancellarli tutti apri «More actions» e scegli «Delete all shared links». In Claude, sui piani Free, Pro e Max, sta in Settings > Privacy: premi «Manage» accanto a «Shared chats» e trovi «Unshare» per ogni chat. In Gemini, da computer, in Impostazioni e guida, alla voce «I tuoi link pubblici», con «Elimina tutti i link». Ricorda due cose: cancellare un link ferma gli accessi futuri, ma non cancella le copie che altri hanno già salvato, né i post dove l’avevi incollato. E su Gemini le due guide di Google non concordano su cosa succeda al link quando cancelli la chat: la strada sicura è cancellare il link.
5. In azienda, scopri cosa si usa e mettilo per iscritto. Claroc fa notare che Muse non ha bisogno di nessuna installazione da parte dell’azienda: un collaboratore può usarlo, e condividere, senza che nessuno l’abbia mai approvato. Chiedi ai tuoi collaboratori quali assistenti usano, e nelle regole d’uso dell’AI dello studio scrivi una riga su cosa fa un link di condivisione. Poi fai la prova che suggerisce Claroc: crea una condivisione con dati inventati e guarda cosa finisce nell’indirizzo. Io aggiungo: guarda anche l’anteprima.

Oggi ho raccontato anche un’altra cosa nascosta in bella vista: le istruzioni per il chatbot nelle pagine d’aiuto di WhatsApp.

Il pulsante «condividi» è piccolo. Quello che pubblica può pesare molto.

Domande frequenti

Cos’è successo con Meta Muse e le chat condivise?

Claroc, una società di sicurezza, ha cercato in un servizio di DNS passivo gli indirizzi delle chat condivise da Muse, l’agente AI di Meta, e ne ha trovati più di 6.800. Ogni indirizzo conteneva il titolo della conversazione. Delle poche centinaia di pagine aperte, la maggior parte era innocua; una minoranza conteneva dati personali e documenti aziendali interni. Claroc dice di non avere prove che qualcuno le abbia usate per fare danni e di aver segnalato il problema a Meta l’8 ottobre.

Posso usare Muse in Italia?

No. Muse è disponibile negli Stati Uniti da settembre e in Canada da metà settembre; per l’Europa Meta non ha annunciato date. Gli assistenti che usi qui, come ChatGPT, Claude e Gemini, hanno comunque la loro funzione per condividere le conversazioni con un link.

Le chat condivise di ChatGPT sono pubbliche?

Il link non dà accesso al tuo account, ma chiunque abbia il link di una chat condivisa da un account personale può vedere la conversazione. Per gli account personali il link mostra la conversazione com’era quando l’hai creato o aggiornato. Negli spazi di lavoro ChatGPT Business, Enterprise ed Edu i link si aprono solo per i membri dello stesso spazio, e possono includere anche i messaggi successivi.

Come elimino i link condivisi di ChatGPT, Claude e Gemini?

In ChatGPT, nei controlli sui dati (Data controls), alla voce «Shared links» premi «Manage»: puoi cancellarli uno per uno («Delete shared link») o tutti insieme (da «More actions», «Delete all shared links»). In Claude (piani Free, Pro e Max), in Settings > Privacy: «Manage» accanto a «Shared chats», poi «Unshare». In Gemini, da computer, in Impostazioni e guida, alla voce «I tuoi link pubblici», con «Elimina link pubblico» o «Elimina tutti i link».

Se cancello la chat, sparisce anche il link?

Dipende dall’assistente. Per ChatGPT, OpenAI scrive che cancellare la conversazione elimina anche il suo link condiviso. Per Gemini, le guide di Google dicono cose diverse su questo punto: per essere sicuro, cancella il link da «I tuoi link pubblici». In ogni caso le copie già salvate da altri restano.

Cos’è il DNS passivo?

Il DNS è la rubrica di internet: trasforma i nomi dei siti negli indirizzi delle macchine che li ospitano. Il DNS passivo è un archivio storico delle domande e delle risposte passate da quella rubrica, raccolte da sensori lungo la rete. Esistono servizi commerciali che lo vendono, ed è uno degli strumenti di chi si occupa di sicurezza.

Fonti

• Claroc, «GhostShares: A Shared Muse Chat Exposed Prep for a Confidential Call With a Frontier AI Lab Leader», 18 ottobre 2026 (rapporto originale)
• Ars Technica, «Meta Muse exposes users’ personal and business secrets when they share conversations», 20 ottobre 2026
• Quartz, «Meta Muse AI agent shared conversation links found via public DNS», 20 ottobre 2026
• Fortune, «An AI agent sent a stranger to a man’s house without telling him», 19 ottobre 2026
• OpenAI, «Sharing conversations and scheduled tasks in ChatGPT» (Centro assistenza)
• Anthropic, «Share and unshare chats» (Claude Help Center)
• Google, «Condividi le chat dalle app Gemini» e «Gestisci ed elimina l’attività nelle app Gemini»
• Notebookcheck, «Meta Muse Wonder: ora disponibile per gli sviluppatori, l’app Muse esclude l’Europa», 13 ottobre 2026
• Search Engine Journal, «OpenAI Is Pulling Shared ChatGPT Chats From Google Search», 1 agosto 2025
• 9to5Mac, «370k Grok AI chats made public without user consent», 20 agosto 2025