Meta udgiver hotfix til Muse zero‑day, der lader angribere kapre AI‑agenten

Sikkerhedsforsker Patrick Wardle sagde den 22. september 2026, at Meta havde udgivet et hotfix til en zero‑day‑sårbarhed i Muse, deres ny lancerede personlige AI‑agent, efter hans offentlige afsløring den 21. september 2026, hvor han påpegede, at en ikke‑privilegeret lokal proces kunne omdirigere Mac‑appens dikterings‑trafik til et angriber‑kontrolleret endpoint og uset kapre agenten.

Offentlig afsløring og bekræftelse af rettelse

Wardle offentliggjorde sine fund i en X‑tråd, der startede kl. 14:42 UTC den 21. september 2026, og advarede brugere mod at installere Muse samt skrev, at alvorlige zero‑day‑fejl kunne gøre det muligt for lokalt malware eller angribere uset at kapre agenten. Han kombinerede tråden med et proof‑of‑concept‑repository på GitHub med titlen “not-a-mused”; repository‑ens commit‑historik viser de tre commits – tilføjelse af projekttitel og beskrivelse, oprettelse af notamused.py‑scriptet og opdatering af README – alle dateret den 21. september 2026.

I et opslag på hans X‑profil tidsstemplet 06:36 UTC den 22. september 2026 skrev Wardle “Hurra, hotfixet!” og roste rettelsens hastighed. I et senere opslag samme dag skrev han, at han er fan af fuld offentliggørelse, idet han siger, at det får fejl rettet hurtigere. I sin afslørings‑tråd havde han sagt, at han ville dele flere detaljer og flere fejl på sikkerhedskonferencen Objective by the Sea v9.

Fejlen i dikterings‑endpointet

Ifølge proof‑of‑concept‑dokumentationen eksponerer Muse en udokumenteret indstilling kaldet endo_voyager_dictation_endpoint som en lokal angriber eller malware kan ændre uden særlige rettigheder. Når en bruger klikker på Muses mikrofonknap og dikterer en prompt, angiver Wardles tråd, at appen sender dikteringen til angriberens endpoint i stedet. README’en lister de potentielle konsekvenser: opsamling af dikteret lyd og prompts, prompt‑injektion i Muse, tyveri af Muses autentificeringsmateriale og misbrug af enhver adgang, brugeren har givet agenten. repository‑dokumentationen opsummerer påvirkningen i én sætning: “Muses adgang kan potentielt blive angriberens adgang.”

Proof‑of‑concept‑implementeringen omfatter et udsnit af de mere end 50 kommandoer, som Muse eksponerer, og udløses gennem mikrofon‑knap‑dikterings‑flowet, ifølge README’en. README’en bemærker, at angrebet er lokalt: en angriber skal allerede kunne køre kode som den lokale bruger. Den beskriver risikoen som en forstærkning, idet den fastslår, at Muse kan have væsentligt bredere adgang end almindeligt lokalt malware, hvilket gør den til et særligt attraktivt mål for privilegie‑ og adgangsforstærkning.

I sin tråd opregnede Wardle den praktiske påvirkning af en vellykket kapring: tyveri af en brugers dikterede lyd, injektion af prompts, som Muse stoler på og udfører, samt tyveri af brugerens autentificeringstoken for direkte og usynlig kontrol af Muse. Alt, hvad brugeren havde givet Muse adgang til, herunder beskeder, e‑mails og økonomi, ville også blive eksponeret for den lokale angriber, skrev han. I et separat opslag den 21. september kaldte han fejlen triviel at udnytte og efterspurgte en rettelse.

Forbundne enheder og en fjern vektor

Den eksponering, Wardle beskrev, strækker sig ud over en enkelt Mac. I et opslag kl. 20:30 UTC den 21. september 2026 skrev han, at når en Mac er udnyttet, kan en angriber interagere med enhver af brugerens forbundne enheder, som også kører Muse, herunder fjernstyre den mobile iOS Muse‑klient uset.

Wardle skrev den 22. september 2026, at der også fandtes en fjern vektor: et ClickFix‑lignende angreb, der kun kræver en enkelt bruger‑kørt kommando, kunne levere kapringen og give en fjern angriber Muse‑omfattende kontrol over alle en offers Muse‑aktiverede enheder, herunder iOS. Han fremhævede dette både i opslaget, der bekræftede rettelsen, og i et opfølgende svar i sin afslørings‑tråd.

Metas dokumenterede sikkerhedsdesign

Meta lancerede Muse den 8. september 2026 og introducerede den som virksomhedens personlige agent i et forsknings‑blogindlæg, der beskriver systemets sikkerhedsarkitektur. Meta oplyser, at de designede systemet med antagelsen om, at agenten kan være under angreb, og for at begrænse den potentielle skade. Under dette design kører agentens daemon og de værktøjer, den udfører, inden for en systemd‑nspawn‑runtime‑celle, isoleret fra værtssystemet, og en separat vært‑side agent kaldet Sentinel fungerer som den eneste tilladelsesautoritet for connector‑handlinger og al netværksudgående trafik. Legitimationsoplysninger for tilsluttede tjenester gemmes i brugerens virtuelle maskine, og Sentinel udfører just‑in‑time indsættelse af legitimationsoplysninger ved netværksgrænsen, så agenten aldrig ser de faktiske tokens, ifølge indlægget.

I det samme indlæg meddelte Meta, at de åbner Muse‑bug‑bounty‑programmet for alle, med belønninger på op til $300.000 for gyldige rapporter, herunder op til $130.000 for vellykkede prompt‑injektionsforsøg, der påvirker én bruger.

Meta’s Help Center dokumenterer yderligere beskyttelser: hver Muse-brugers virtuelle maskine er isoleret fra andre brugeres agenter, legitimationsoplysninger såsom brugernavne og adgangskoder opbevares i en Secure Credentials Store, som gør det muligt for Muse at udføre autoriserede handlinger uden at AI-modellen ser adgangskoden, og Muse er designet til at bede om bekræftelse før visse vigtige handlinger, såsom at sende en e‑mail eller foretage et køb. Help Centeret angiver, at vigtige tilladelses‑ og sikkerhedstjek fungerer uafhængigt af AI-modellen, så de ikke er afhængige af, at modellen selv genkender en ondsindet instruktion på egen hånd.

Meta’s research post angiver, at Muse ikke er immun over for angreb, og at prompt‑injektion fortsat er et åbent problem i hele branchen. Virksomheden sagde, at den planlægger at levere en Muse Confidential VM, designet til kryptografisk og verificerbart at forhindre Meta selv i at få adgang til data i en brugers VM, senere i år.