Meta rychle opravuje nulový den v Muse, který umožnil útočníkům převzít AI agenta

Bezpečnostní výzkumník Patrick Wardle uvedl 22. září 2026, že Meta rychle opravila nulový den v Muse, svém nově spuštěném osobním AI agentovi, po jeho veřejném odhalení 21. září 2026, že neprivilegovaný lokální proces může přesměrovat diktovací provoz aplikace pro Mac na koncový bod řízený útočníkem a neviditelně převzít agenta.

Veřejné odhalení a potvrzení opravy

Wardle zveřejnil své nálezy ve vlákno na X, které začalo v 14:42 UTC 21. září 2026, varoval uživatele, aby Muse neinstalovali, a napsal, že vážné nulové denní chyby by mohly umožnit lokálnímu malwaru nebo útočníkům neviditelně převzít agenta. Spojil vlákno s proof‑of‑concept repozitářem na GitHubu nazvaným „not-a-mused“; historie commitů repozitáře ukazuje tři commity – přidání názvu a popisu projektu, vytvoření skriptu notamused.py a aktualizaci README – všechny datované 21. září 2026.

V příspěvku na jeho profilu na X označeném časem 06:36 UTC 22. září 2026, Wardle napsal „Hurá, opraveno!“ a chválil rychlost opravy. V pozdějším příspěvku též dne napsal, že je fanouškem úplného odhalování, protože to urychluje opravu chyb. Ve svém odhalovacím vláknu uvedl, že bude sdílet další podrobnosti a další chyby na bezpečnostní konferenci Objective by the Sea v9.

Chyba koncového bodu diktování

Podle dokumentace proof‑of‑conceptu Muse odhaluje nedokumentované nastavení nazvané endo_voyager_dictation_endpoint že lokální útočník nebo malware může změnit bez zvláštních oprávnění. Když uživatel klikne na mikrofonové tlačítko Muse a zadá diktát, podle Wardleova vlákna aplikace odešle diktát na útočníkův koncový bod. README uvádí možné důsledky: zachycení diktovaného zvuku a výzev, injekci výzev do Muse, krádež autentizačních materiálů Muse a zneužití jakéhokoli přístupu, který uživatel agentovi udělil. dokumentace repozitáře shrnuje dopad jednou větou: „Přístup Muse může potenciálně přejít do rukou útočníka.“

Proof‑of‑concept implementuje podmnožinu více než 50 příkazů, které Muse poskytuje, a je spuštěn přes tok diktování mikrofonovým tlačítkem, podle README. README poznamenává, že útok je lokální: útočník již musí být schopen spouštět kód jako lokální uživatel. Riziko je prezentováno jako amplifikace, přičemž se uvádí, že Muse může mít výrazně širší přístup než běžný lokální malware, což z něj činí obzvláště užitečný cíl pro zvýšení oprávnění a přístupu.

Ve svém vláknu Wardle vyjmenoval praktické dopady úspěšného převzetí: krádež uživatelského diktovaného zvuku, injekci výzev, kterým Muse důvěřuje a které vykoná, a krádež uživatelského autentizačního tokenu pro přímé a neviditelné ovládání Muse. Cokoli, co uživatel Muse povolil, včetně zpráv, e‑mailů a financí, by také bylo vystaveno lokálnímu útočníkovi, napsal. V samostatném příspěvku 21. září označil chybu za triviální k využití a požádal o opravu.

Připojená zařízení a vzdálený vektor

Expozice, kterou Wardle popsal, přesahuje jeden Mac. V příspěvku v 20:30 UTC 21. září 2026 napsal, že jakmile je Mac napaden, útočník může komunikovat s jakýmikoli uživatelovými připojenými zařízeními, která také běží Muse, včetně neviditelného vzdáleného ovládání mobilního iOS klienta Muse.

Wardle 22. září 2026 napsal, že existoval také vzdálený vektor: útok ve stylu ClickFix, který vyžaduje pouze jediný příkaz spuštěný uživatelem, mohl dodat převzetí a poskytnout vzdálenému útočníkovi kontrolu v rozsahu Muse nad všemi zařízeními oběti s povoleným Muse, včetně iOS. Tento bod uvedl jak v příspěvku potvrzujícím opravu, tak v následné odpovědi ve svém odhalovacím vláknu.

Dokumentovaný bezpečnostní design Meta

Meta spustila Muse 8. září 2026 a představila jej jako osobního agenta společnosti v výzkumném blogovém příspěvku, který podrobně popisuje bezpečnostní architekturu systému. Meta uvedla, že systém byl navržen tak, aby předpokládal, že agent může být pod útokem, a aby omezil potenciální škody. V rámci tohoto designu běží daemon agenta a nástroje, které spouští, uvnitř runtime buňky systemd‑nspawn izolované od hostitelského systému a samostatný host‑side agent nazvaný Sentinel funguje jako jediný autorita oprávnění pro akce konektorů a veškerý odchozí síťový provoz. Přihlašovací údaje pro připojené služby jsou uloženy ve virtuálním stroji uživatele a Sentinel provádí vkládání přihlašovacích údajů just‑in‑time na síťové hranici, takže agent nikdy nevidí skutečné tokeny, podle příspěvku.

Ve stejném příspěvku Meta uvedla, že otevírá program odměn za chyby Muse pro kohokoli, s odměnami až 300 000 $ za platná hlášení, včetně až 130 000 $ za úspěšné pokusy o injekci výzev, které ovlivní jednoho uživatele.

Centrum nápovědy Meta uvádí další ochrany: virtuální stroj každého uživatele Muse je izolován od agentů ostatních uživatelů, přihlašovací údaje jako uživatelská jména a hesla jsou uloženy v zabezpečeném úložišti pověření, které umožňuje Muse provádět autorizované akce, aniž by model AI viděl heslo, a Muse je navržen tak, aby před určitými důležitými akcemi, jako je odeslání e‑mailu nebo provedení nákupu, požádal o potvrzení. Centrum nápovědy uvádí, že důležité kontroly oprávnění a zabezpečení fungují odděleně od modelu AI, takže nejsou závislé na tom, že by model sám rozpoznal škodlivý příkaz.

Meta ve výzkumném příspěvku uvádí, že Muse není imunní vůči útokům a že injekce promptů zůstává otevřeným problémem napříč odvětvím. Společnost uvedla, že plánuje později v tomto roce dodat Muse Confidential VM, navržený tak, aby kryptograficky a ověřitelně zabránil samotnému Meta v přístupu k datům ve virtuálním stroji uživatele.