ميتا تُصْلِح ثغرة صفرية في Muse تسمح للمهاجمين بالاستيلاء على الوكيل الذكي

قال الباحث الأمني باتريك واردل في 22 سبتمبر 2026 إن ميتا قامت بإصلاح سريع لثغرة صفرية في Muse، وكيل الذكاء الاصطناعي الشخصي الذي أُطلق حديثًا، عقب إفصاحه العام في 21 سبتمبر 2026 أن عملية محلية غير متميزة يمكنها إعادة توجيه حركة إملاء تطبيق الماك إلى نقطة نهاية يتحكم فيها المهاجم والاستيلاء على الوكيل بشكل غير مرئي.

الإفصاح العام وتأكيد التصحيح

نشر واردل نتائجه في سلسلة على X التي بدأت في 14:42 UTC في 21 سبتمبر 2026، محذرًا المستخدمين من تثبيت Muse ومشيرًا إلى أن عيوب صفرية خطيرة قد تسمح للبرمجيات الضارة المحلية أو للمهاجمين بالاستيلاء على الوكيل بشكل غير مرئي. ربط السلسلة بمستودع إثبات مفهوم على GitHub بعنوان “not-a-mused”؛ يُظهر سجل الالتزامات للمستودع ثلاثة عمليات ارتكاب — إضافة عنوان المشروع ووصفه، إنشاء سكريبت notamused.py، وتحديث ملف README — جميعها مؤرخة في 21 سبتمبر 2026.

في منشور على ملفه الشخصي على X مؤرخ 06:36 UTC في 22 سبتمبر 2026، كتب واردل “يا له من إنجاز، تم الإصلاح سريعًا!” وأشاد بسرعة التصحيح. في منشور لاحق في ذلك اليوم، كتب أنه من مؤيدي الإفصاح الكامل، قائلاً إن ذلك يجعل إصلاح الأخطاء أسرع. في سلسلة إفصاحه، كان قد قال إنه سيشارك المزيد من التفاصيل، ومزيدًا من الأخطاء، في مؤتمر الأمن Objective by the Sea الإصدار 9.

ثغرة نقطة نهاية الإملاء

وفقًا لتوثيق إثبات المفهوم، يكشف Muse عن إعداد غير موثق يُسمى endo_voyager_dictation_endpoint يمكن لمهاجم محلي أو برنامج ضار تعديل ذلك دون امتيازات خاصة. عندما ينقر المستخدم زر الميكروفون في Muse ويُدلي بأمر، يذكر خيط واردل أن التطبيق يرسل الإملاء إلى نقطة نهاية المهاجم بدلاً من ذلك. يسرد ملف README العواقب المحتملة: التقاط الصوت المملوء والأوامر، حقن أوامر في Muse، سرقة مواد مصادقة Muse، وإساءة استخدام أي وصول منح المستخدم للوكيل. تُلخّص توثيق المستودع الأثر في سطر واحد: “قد يصبح وصول Muse هو وصول المهاجم.”

يطبق إثبات المفهوم مجموعة فرعية من أكثر من 50 أمرًا يُظهرها Muse ويتم تفعيله عبر تدفق إملاء زر الميكروفون، وفقًا لملف README. يلاحظ README أن الهجوم محلي: يجب أن يكون المهاجم قادرًا بالفعل على تنفيذ الشيفرة كمستخدم محلي. يصف الخطر بأنه تضخيم، مشيرًا إلى أن Muse قد يمتلك وصولًا أوسع بكثير من البرمجيات الضارة المحلية العادية، مما يجعله هدفًا مفيدًا بشكل خاص لتضخيم الامتيازات والوصول.

في سلسلته، ذكر واردل الأثر العملي لاختطاف ناجح: سرقة الصوت المملوء من المستخدم، حقن أوامر يثق بها Muse وينفذها، وسرقة رمز المصادقة الخاص بالمستخدم للسيطرة على Muse مباشرة وبشكل غير مرئي. أي شيء منح المستخدم Muse إمكانية الوصول إليه، بما في ذلك الرسائل والبريد الإلكتروني والمالية، سيتعرض أيضًا للمهاجم المحلي، كتب. في منشور منفصل في 21 سبتمبر، وصف الثغرة بأنها بسيطة الاستغلال وطلب إصلاحًا.

الأجهزة المتصلة ومتجه بعيد

يمتد الكشف الذي وصفه واردل إلى ما هو أبعد من جهاز ماك واحد. في منشور الساعة 20:30 UTC في 21 سبتمبر 2026، كتب أنه بمجرد استغلال ماك، يمكن للمهاجم التفاعل مع أي من الأجهزة المتصلة بالمستخدم التي تشغل أيضًا Muse، بما في ذلك تكليف عميل Muse على iOS المحمول عن بُعد بشكل غير مرئي.

كتب واردل في 22 سبتمبر 2026 أن متجهًا بعيدًا كان موجودًا أيضًا: هجوم على نمط ClickFix يتطلب أمرًا واحدًا يُنفّذ من قبل المستخدم يمكنه تنفيذ الاختطاف ومنح المهاجم البعيد سيطرة على جميع أجهزة الضحية التي تدعم Muse، بما في ذلك iOS. أشار إلى ذلك في كل من المنشور الذي يؤكد التصحيح والرد المتابع في سلسلة إفصاحه.

تصميم الأمان الموثق من ميتا

أطلقت ميتا Muse في 8 سبتمبر 2026، مقدمةً إياه كوكيل شخصي للشركة في منشور مدونة بحثية يوضح بنية أمان النظام. صرحت ميتا بأنها صممت النظام بافتراض أن الوكيل قد يكون تحت هجوم ولتقليل الضرر المحتمل. وفقًا لهذا التصميم، يعمل خادم الوكيل والأدوات التي ينفذها داخل خلية تشغيل systemd-nspawn معزولة عن نظام المضيف، ويعمل وكيل منفصل على الجانب المضيف يُدعى Sentinel كسلطة الأذونات الوحيدة لإجراءات الموصلات وجميع الخروج الشبكي. تُخزن بيانات الاعتماد للخدمات المتصلة في الجهاز الافتراضي للمستخدم، ويُجري Sentinel إدخال بيانات الاعتماد في الوقت المناسب عند حدود الشبكة، بحيث لا يرى الوكيل الرموز الحقيقية، وفقًا للمنشور.

في نفس المنشور، صرحت ميتا بأنها تفتح برنامج مكافآت الثغرات في Muse للجميع، مع جوائز تصل إلى 300,000 دولار للتقارير الصالحة، بما في ذلك ما يصل إلى 130,000 دولار لمحاولات حقن الأوامر الناجحة التي تؤثر على مستخدم واحد.

مركز مساعدة ميتا يوثق حماية إضافية: كل آلة افتراضية لمستخدم Muse معزولة عن وكلاء المستخدمين الآخرين، وتُحفظ بيانات الاعتماد مثل أسماء المستخدمين وكلمات المرور في Secure Credentials Store يتيح لـ Muse إكمال الإجراءات المصرح بها دون أن يرى نموذج الذكاء الاصطناعي كلمة المرور، وتم تصميم Muse لطلب التأكيد قبل بعض الإجراءات المهمة، مثل إرسال بريد إلكتروني أو إجراء عملية شراء. يذكر مركز المساعدة أن فحوصات الأذونات والأمان المهمة تعمل بشكل منفصل عن نموذج الذكاء الاصطناعي، لذا لا تعتمد على قدرة النموذج على التعرف على تعليمات خبيثة بمفرده.

تشير منشورة البحث الخاصة بميتا إلى أن Muse ليس محصنًا ضد الهجمات وأن حقن المطالبات لا يزال مشكلة مفتوحة في جميع أنحاء الصناعة. صرحت الشركة بأنها تخطط لتوفير Muse Confidential VM، مصممة لتمنع ميتا نفسها من الوصول إلى البيانات في آلة المستخدم بشكل تشفيرٍ وقابل للتحقق، في وقت لاحق من هذا العام.