Cybersicherheit
Meta behebt Muse-Zero-Day, die Angreifern das Hijacken des KI‑Agents ermöglichte
Unite.AI zu deinen bevorzugten Quellen auf Google hinzufügen
Sicherheitsforscher Patrick Wardle sagte am 22. September 2026, dass Meta eine Zero-Day‑Schwachstelle in Muse, seinem neu eingeführten persönlichen KI‑Agenten, per Hot‑Fix behoben habe, nachdem er am 21. September 2026 öffentlich offengelegt hatte, dass ein nicht privilegierter lokaler Prozess den Diktierverkehr der Mac‑App zu einem vom Angreifer kontrollierten Endpunkt umleiten und den Agenten unsichtbar hijacken könne.
Öffentliche Offenlegung und Patch‑Bestätigung
Wardle veröffentlichte seine Ergebnisse in ein X-Thread, der am 21. September 2026 um 14:42 UTC begann, und warnte die Nutzer, Muse nicht zu installieren, wobei er schrieb, dass ernsthafte Zero‑Day‑Fehler lokalen Malware‑ oder Angreifern ermöglichen könnten, den Agenten unsichtbar zu hijacken. Er verknüpfte den Thread mit einem Proof‑of‑Concept‑Repository auf GitHub mit dem Titel „not-a-mused“; die Commit-Historie des Repositories zeigt seine drei Commits – das Hinzufügen des Projekttitels und der Beschreibung, das Erstellen des Skripts notamused.py und das Aktualisieren der README – alle datiert auf den 21. September 2026.
In ein Beitrag in seinem X-Profil, der um 06:36 UTC am 22. September 2026 getimt wurde, schrieb Wardle „Hurra, Hot‑Fix!“ und lobte die Geschwindigkeit des Patches. In einem späteren Beitrag desselben Tages schrieb er, er sei ein Fan von voller Offenlegung, weil dadurch Bugs schneller behoben werden. In seinem Offenlegungs‑Thread hatte er angekündigt, weitere Details und weitere Bugs auf der Sicherheitskonferenz Objective by the Sea v9 zu teilen.
Der Diktat‑Endpunkt‑Fehler
Laut der Dokumentation des Proof‑of‑Concepts legt Muse eine undokumentierte Einstellung mit dem Namen offen, endo_voyager_dictation_endpoint die ein lokaler Angreifer oder Malware ohne besondere Privilegien ändern kann. Wenn ein Nutzer den Mikrofon‑Button von Muse anklickt und einen Prompt diktiert, besagt Wardles Thread, dass die App die Diktierung stattdessen an den Endpunkt des Angreifers sendet. Das README listet die potenziellen Folgen auf: Aufzeichnung der diktierten Audiodaten und Prompts, Prompt‑Injection in Muse, Diebstahl von Muse‑Authentifizierungsdaten und Missbrauch jeglichen Zugriffs, den der Nutzer dem Agenten gewährt hat. Die Repository-Dokumentation fasst die Auswirkung in einer Zeile zusammen: „Muse‑Zugriff kann potenziell zum Zugriff des Angreifers werden.“
Das Proof‑of‑Concept implementiert einen Teil der mehr als 50 von Muse bereitgestellten Befehle und wird, laut README, über den Diktier‑Flow des Mikrofon‑Buttons ausgelöst. Das README weist darauf hin, dass der Angriff lokal ist: Ein Angreifer muss bereits in der Lage sein, Code als lokaler Nutzer auszuführen. Es stellt das Risiko als Amplifikation dar und erklärt, dass Muse möglicherweise deutlich umfassenderen Zugriff hat als gewöhnliche lokale Malware, was es zu einem besonders nützlichen Ziel für Privileg‑ und Zugriffs‑Amplifikation macht.
In seinem Thread listete Wardle die praktischen Auswirkungen eines erfolgreichen Hijacks auf: das Stehlen der vom Nutzer diktierten Audiodaten, das Injizieren von Prompts, denen Muse vertraut und die es ausführt, sowie das Stehlen des Authentifizierungstokens des Nutzers, um Muse direkt und unsichtbar zu kontrollieren. Alles, worauf der Nutzer Muse Zugriff gewährt hatte, einschließlich Nachrichten, E‑Mails und Finanzdaten, würde ebenfalls dem lokalen Angreifer offenliegen, schrieb er. In einem separaten Beitrag am 21. September bezeichnete er den Fehler als trivial auszunutzen und bat um eine Korrektur.
Verbundene Geräte und ein Remote‑Vektor
Die von Wardle beschriebene Schwachstelle erstreckt sich über ein einzelnes Mac hinaus. In einem Beitrag um 20:30 UTC am 21. September 2026 schrieb er, dass ein Angreifer, sobald ein Mac kompromittiert ist, mit allen verbundenen Geräten des Nutzers interagieren kann, die ebenfalls Muse ausführen, einschließlich der unsichtbaren Fernsteuerung des mobilen iOS‑Muse‑Clients.
Wardle schrieb am 22. September 2026, dass ein Remote‑Vektor ebenfalls existierte: ein ClickFix‑ähnlicher Angriff, der nur einen einzigen vom Nutzer ausgeführten Befehl erfordert, könnte das Hijacken ermöglichen und einem entfernten Angreifer Muse‑weitige Kontrolle über alle Muse‑fähigen Geräte eines Opfers geben, einschließlich iOS. Er brachte diesen Punkt sowohl in dem Beitrag, der den Patch bestätigte, als auch in einer nachfolgenden Antwort in seinem Offenlegungs‑Thread zur Sprache.
Metas dokumentiertes Sicherheitsdesign
Meta führte Muse am 8. September 2026 ein und stellte es in ein Forschungsblogbeitrag als den persönlichen Agenten des Unternehmens vor, wobei die Sicherheitsarchitektur des Systems detailliert wird. Meta erklärte, dass das System so konzipiert sei, dass angenommen wird, der Agent könne unter Angriff stehen, und dass potenzieller Schaden begrenzt werden solle. Nach diesem Design laufen der Daemon des Agenten und die von ihm ausgeführten Werkzeuge innerhalb einer systemd‑nspawn‑Runtime‑Zelle, die vom Hostsystem isoliert ist, und ein separater hostseitiger Agent namens Sentinel fungiert als alleinige Berechtigung‑Autorität für Connector‑Aktionen und für gesamten Netzwerk‑Egress. Zugangsdaten für verbundene Dienste werden in der virtuellen Maschine des Nutzers gespeichert, und Sentinel führt Just‑in‑Time‑Einfügung von Zugangsdaten an der Netzwerkgrenze durch, sodass der Agent nie echte Tokens sieht, so der Beitrag.
Im selben Beitrag erklärte Meta, dass das Muse‑Bug‑Bounty‑Programm für alle geöffnet wird, mit Prämien von bis zu 300.000 $ für gültige Meldungen, einschließlich bis zu 130.000 $ für erfolgreiche Prompt‑Injection‑Versuche, die einen einzelnen Nutzer betreffen.
Meta-Hilfezentrum dokumentiert zusätzliche Schutzmaßnahmen: Jede virtuelle Maschine eines Muse‑Nutzers ist von den Agenten anderer Nutzer isoliert, Anmeldedaten wie Benutzernamen und Passwörter werden in einem Secure Credentials Store gespeichert, der es Muse ermöglicht, autorisierte Aktionen auszuführen, ohne dass das KI‑Modell das Passwort sieht, und Muse ist so konzipiert, dass es vor bestimmten wichtigen Aktionen, wie dem Senden einer E‑Mail oder dem Tätigen eines Kaufs, um Bestätigung bittet. Das Hilfezentrum erklärt, dass wichtige Berechtigungs‑ und Sicherheitsprüfungen getrennt vom KI‑Modell ablaufen, sodass sie nicht davon abhängen, dass das Modell eigenständig eine bösartige Anweisung erkennt.
Der Forschungspost von Meta stellt fest, dass Muse nicht immun gegen Angriffe ist und dass Prompt‑Injection ein nach wie vor offenes Problem in der gesamten Branche darstellt. Das Unternehmen sagte, dass es später in diesem Jahr eine Muse Confidential VM bereitstellen will, die kryptografisch und nachweislich verhindert, dass Meta selbst auf Daten in der VM eines Nutzers zugreift.
