Privata samtal som delats från AI-tjänsten Claude har kunnat dyka upp i sökresultat hos både Google och Bing. Det handlade inte om ett intrång i användarnas konton, utan om offentliga delningslänkar som sökmotorerna lyckades upptäcka och lägga till i sina index.
Enligt Wired innehöll de sökbara samtalen bland annat frågor om politisk tillhörighet, juridiska etikregler och sexuella rollspel. Vissa länkar hade hunnit tas bort när tidningen granskade dem, men Bing visade fortfarande omkring 600 träffar för Claude-adresser avsedda för delade konversationer.
Annons
Hemlig länk betydde inte privat innehåll
Claude låter användare skapa en ögonblicksbild av ett samtal och dela den via en unik webbadress. Samtalen är privata från början, men när delningsfunktionen aktiveras kan alla som har länken öppna den kopierade versionen.
Anthropic beskriver själv länken som delbar och skriver att alla med tillgång till den kan läsa meddelandena som fanns i chatten när ögonblicksbilden skapades. Det gäller även innehåll som Claude producerat i så kallade artifacts.
Problemet är att en svårgissad adress inte automatiskt är osynlig för sökmotorer. Länken kan exempelvis upptäckas om någon publicerar den på ett forum, i ett dokument, på en webbsida eller i ett inlägg som sökmotorns robotar redan besöker.
Det gör delningslänken mer lik en offentlig webbsida än ett privat meddelande. Adressen kan vara svår att hitta på egen hand, men innehållet är fortfarande öppet för den som hittar den.
Anthropic blockerade fel del av processen
Anthropic hade instruerat sökmotorernas robotar att inte besöka Claude-sidor för delade chattar genom webbplatsens robots.txt-fil. Sådana regler används för att styra vilka delar av en webbplats som robotar bör genomsöka.
Men att stoppa en sökmotor från att läsa en sida är inte alltid samma sak som att hindra sidan från att visas i sökresultaten.
Google förklarar i sin dokumentation att en sida kan upptäckas genom länkar från andra webbplatser även när den blockeras i robots.txt. Sökmotorn kan då lägga in själva adressen i sitt index utan att ha läst hela sidans innehåll.
För att tydligt stoppa en sida från att visas krävs normalt instruktionen noindex i sidans HTML-kod eller i serverns HTTP-svar.
Wired granskade flera av Claude-sidorna och hittade ingen sådan noindex-instruktion. Anthropic hade alltså satt upp en skylt som bad robotarna att inte gå in, men saknade instruktionen som uttryckligen sade att adressen inte fick visas i sökresultaten.
Det är en teknisk detalj med stor praktisk betydelse. En robots.txt-fil används främst för att styra genomsökning och belastning på en webbplats. Den bör inte behandlas som ett fullständigt integritetsskydd.
Google och Bing hittade samma svaghet
Google uppgav för Wired att webbplatsägaren ansvarar för vilka sidor som görs offentliga och vilka instruktioner sökmotorerna får. Företaget säger att det erbjuder verktyg för att blockera både genomsökning och indexering.
Anthropic uppgav samtidigt att bolaget inte skickar kataloger eller webbplatskartor över delade samtal till sökmotorerna. Enligt företaget är länkarna inte möjliga att gissa och blir endast upptäckbara om användarna själva sprider dem.
Det resonemanget är tekniskt korrekt, men riskerar att krocka med hur många använder delningsfunktioner. En användare kan uppfatta en lång och slumpmässig adress som en privat länk avsedd för en kollega eller vän, trots att den i praktiken leder till en oskyddad webbsida.
Liknande länkar används av flera AI-tjänster för att dela konversationer, kod, analyser och dokument. Risken är därför större än just Claude. Så snart en AI-chatt publiceras som en vanlig webbsida kan den kopieras, arkiveras och spridas vidare utanför tjänstens kontroll.
Delade chattar kan innehålla mer än man minns
Enligt Anthropics dokumentation innehåller en delad ögonblicksbild samtliga meddelanden som skickats före delningen. Uppladdade originalfiler följer inte med, men text från användaren och svar från Claude blir synliga.
Det innebär att en till synes harmlös chatt kan innehålla äldre uppgifter som namn, arbetsinformation, kunddata, kod, interna instruktioner eller delar av ett dokument. Användaren kanske bara vill dela det sista svaret, men råkar samtidigt publicera hela den tidigare konversationen.
Särskilt känsligt blir det när AI används i arbetet. En delningslänk kan innehålla affärsplaner, avtalsutkast, personuppgifter eller tekniska detaljer som aldrig var avsedda att lämna organisationen.
Anthropics Team och Enterprise-abonnemang har ett striktare upplägg där chattar bara kan delas med andra medlemmar i samma organisation. Publika länkar kan däremot skapas från konsumentabonnemangen Free, Pro och Max.
Så kontrollerar du dina delade Claude-samtal
Claude-användare kan öppna inställningarna och gå till Privacy och Shared chats. Där visas en lista över tidigare delade konversationer, när länkarna skapades och vilka chattar som fortfarande går att öppna.
Länken kan stängas av genom att välja Unshare eller ändra synligheten från Public till Private. Det förhindrar fortsatt åtkomst via den gamla adressen.
En avstängd länk innebär däremot inte att alla kopior automatiskt försvinner. Innehållet kan redan ha sparats av en sökmotor, en arkiveringstjänst eller en person som besökt sidan. Därför bör känslig information aldrig publiceras genom en delningslänk, även när adressen ser slumpmässig och svår att hitta ut.
Händelsen visar att AI-chattar inte längre bara är meddelanden i en app. När de delas blir de webbsidor, och då gäller webbens vanliga regler. En länk utan lösenord eller inloggning bör alltid betraktas som offentlig.
