Vous envoyez un lien vers une conversation avec un chatbot pour que quelqu'un voie le brouillon qu'il vous a aidé à écrire, sans vous demander qui d'autre pourrait tomber sur ce même lien. La plupart du temps, ça ne pose pas de problème. La fois où ça en pose, ça suffit pour que quelqu'un voie une demande de prêt, une revue de revenus, ou le calendrier de congés de toute une entreprise.
Dans ce guide : ce qui s'est réellement passé avec la fonction de partage de Muse chez Meta, trois vérifications à faire avant de partager un lien de conversation IA, et ce que vous pouvez partager sans vous inquiéter.
Commençons par la base. "Partageable" ne veut pas dire "privé". Dès qu'un lien a une adresse fixe sur internet, il y a une chance qu'il arrive à quelqu'un qui ne l'a jamais reçu de vous, via un moteur de recherche, un registre DNS public, ou simplement quelqu'un qui l'a transféré. Un lien n'a pas besoin de fuiter pour que ça arrive, il doit juste être facile à deviner.
La société de sécurité Claroc l'a découvert à ses dépens. Elle a trouvé que 6 800 liens de partage Muse étaient construits à partir du titre de la conversation et d'un identifiant aléatoire, hébergés sous un seul domaine fixe, ce qui les rendait accessibles via des registres DNS publics, sans aucun mot de passe. Parmi ce qu'elle a trouvé : une demande de prêt d'une petite entreprise, une revue de revenus interne d'une société de marketing, et une alerte de fraude bancaire avec des détails de compte partiels. Meta a suspendu la fonction après que des journalistes ont posé la question.
Étape 1 : vérifiez ce que vous partagez réellement
Avant de cliquer sur partager, relisez la conversation elle-même. Y a-t-il le nom d'un client, un montant précis, un détail sur un employé, ou quelque chose que vous ne diriez pas en public? Si oui, ce n'est pas un lien à partager, c'est une conversation à nettoyer avant même de la sauvegarder.
Étape 2 : vérifiez si l'outil dit "privé" ou juste "toute personne avec le lien"
Dans tout outil IA depuis lequel vous partagez, il y a une différence entre "toute personne avec le lien" et "privé, connexion requise". Cherchez cette distinction dans les réglages de partage de l'outil que vous utilisez, ne supposez pas que c'est la même chose.
Étape 3 : ouvrez le lien vous-même, déconnecté
Ouvrez le lien dans un autre navigateur ou une fenêtre privée, déconnecté de votre compte. C'est ce que voit vraiment toute personne qui reçoit le lien, ou qui tombe dessus par hasard. S'il y a plus que ce que vous pensiez, fermez le partage.
Cette formulation compte, parce qu'elle demande un message court et précis, pas un document de politique que personne ne lira.
Dans les dix prochaines minutes : reprenez les liens de partage de conversation IA que vous avez envoyés ce mois-ci, depuis n'importe quel outil, et vérifiez-les un par un pour repérer ce qui ne devrait pas être accessible à un inconnu.