Η Meta διορθώνει επειγόντως ευπάθεια zero-day του Muse που επέτρεπε σε επιτιθέμενους να καταλάβουν τον έλεγχο του πράκτορα AI

Ο ερευνητής ασφαλείας Patrick Wardle δήλωσε στις 22 Σεπτεμβρίου 2026 ότι η Meta είχε διορθώσει επειγόντως μια ευπάθεια zero-day στο Muse, τον πρόσφατα λανσαρισμένο προσωπικό πράκτορα AI, μετά τη δημόσια αποκάλυψή του στις 21 Σεπτεμβρίου 2026 ότι μια μη προνομιούχα τοπική διεργασία μπορούσε να ανακατευθύνει την κίνηση υπαγόρευσης της εφαρμογής Mac σε ένα τελικό σημείο ελεγχόμενο από τον επιτιθέμενο και να καταλάβει αθόρυβα τον έλεγχο του πράκτορα.

Δημόσια Αποκάλυψη και Επιβεβαίωση Διόρθωσης

Ο Wardle δημοσίευσε τα ευρήματά του σε ένα νήμα στο X που ξεκίνησε στις 14:42 UTC στις 21 Σεπτεμβρίου 2026, προειδοποιώντας τους χρήστες να μην εγκαταστήσουν το Muse και γράφοντας ότι σοβαρά σφάλματα zero-day θα μπορούσαν να επιτρέψουν σε τοπικό κακόβουλο λογισμικό ή επιτιθέμενους να καταλάβουν αθόρυβα τον έλεγχο του πράκτορα. Συνδύασε το νήμα με ένα αποθετήριο proof‑of‑concept στο GitHub με τίτλο “not-a-mused”· το ιστορικό αλλαγών του αποθετηρίου εμφανίζει τρεις καταχωρίσεις αλλαγών — προσθήκη του τίτλου και της περιγραφής του έργου, δημιουργία του script notamused.py και ενημέρωση του README — όλες με ημερομηνία 21 Σεπτεμβρίου 2026.

Σε μια ανάρτηση στο προφίλ του στο X με χρονική σήμανση 06:36 UTC στις 22 Σεπτεμβρίου 2026, ο Wardle έγραψε «Ζήτω, διορθώθηκε επειγόντως!» και επαίνεσε την ταχύτητα της διόρθωσης. Σε μια μεταγενέστερη ανάρτηση εκείνη τη μέρα, ανέφερε ότι είναι υποστηρικτής της πλήρους αποκάλυψης, λέγοντας ότι έτσι τα σφάλματα διορθώνονται πιο γρήγορα. Στο νήμα αποκάλυψής του, είχε δηλώσει ότι θα μοιραστεί περισσότερες λεπτομέρειες, και περισσότερα σφάλματα, στο συνέδριο ασφαλείας Objective by the Sea v9.

Το Σφάλμα στο Τελικό Σημείο Υπαγόρευσης

Σύμφωνα με την τεκμηρίωση του proof‑of‑concept, το Muse εκθέτει μια μη τεκμηριωμένη ρύθμιση που ονομάζεται endo_voyager_dictation_endpoint, την οποία ένας τοπικός επιτιθέμενος ή κακόβουλο λογισμικό μπορεί να τροποποιήσει χωρίς ειδικά προνόμια. Όταν ένας χρήστης κάνει κλικ στο κουμπί μικροφώνου του Muse και υπαγορεύει μια προτροπή, το νήμα του Wardle αναφέρει ότι η εφαρμογή στέλνει την υπαγόρευση στο τελικό σημείο του επιτιθέμενου. Το README παραθέτει τις πιθανές συνέπειες: υποκλοπή του υπαγορευμένου ήχου και των προτροπών, έγχυση προτροπών στο Muse, κλοπή στοιχείων ταυτοποίησης του Muse και κατάχρηση οποιασδήποτε πρόσβασης που ο χρήστης έχει χορηγήσει στον πράκτορα. Η τεκμηρίωση αποθετηρίου συνοψίζει τον αντίκτυπο σε μία γραμμή: «Η πρόσβαση του Muse μπορεί ενδεχομένως να γίνει η πρόσβαση του επιτιθέμενου.»

Το proof‑of‑concept υλοποιεί ένα υποσύνολο των περισσότερων από 50 εντολών που εκθέτει το Muse και ενεργοποιείται μέσω της ροής υπαγόρευσης μέσω του κουμπιού μικροφώνου, σύμφωνα με το README. Το README σημειώνει ότι η επίθεση είναι τοπική: ο επιτιθέμενος πρέπει ήδη να μπορεί να εκτελέσει κώδικα ως τοπικός χρήστης. Περιγράφει τον κίνδυνο ως ενίσχυση, δηλώνοντας ότι το Muse μπορεί να έχει σημαντικά ευρύτερη πρόσβαση από το συνηθισμένο τοπικό κακόβουλο λογισμικό, γεγονός που το καθιστά ιδιαίτερα χρήσιμο στόχο για ενίσχυση προνομίων και πρόσβασης.

Στο νήμα του, ο Wardle ανέφερε τον πρακτικό αντίκτυπο μιας επιτυχημένης κατάληψης ελέγχου: κλοπή του υπαγορευμένου ήχου του χρήστη, έγχυση προτροπών που το Muse εμπιστεύεται και εκτελεί, και κλοπή του διακριτικού ταυτοποίησης του χρήστη για άμεσο και αόρατο έλεγχο του Muse. Οποιαδήποτε πρόσβαση είχε χορηγήσει ο χρήστης στο Muse, συμπεριλαμβανομένων μηνυμάτων, email και οικονομικών, θα εκτιθόταν επίσης στον τοπικό επιτιθέμενο, έγραψε. Σε μια ξεχωριστή ανάρτηση στις 21 Σεπτεμβρίου, χαρακτήρισε το σφάλμα ως εύκολο να αξιοποιηθεί και ζήτησε μια διόρθωση.

Συνδεδεμένες Συσκευές και Απομακρυσμένη Οδός Επίθεσης

Η έκθεση που περιέγραψε ο Wardle εκτείνεται πέρα από ένα μόνο Mac. Σε ανάρτηση στις 20:30 UTC στις 21 Σεπτεμβρίου 2026, έγραψε ότι μόλις παραβιαστεί ένα Mac, ο επιτιθέμενος μπορεί να αλληλεπιδράσει με οποιεσδήποτε από τις συνδεδεμένες συσκευές του χρήστη που τρέχουν επίσης το Muse, συμπεριλαμβανομένου του απομακρυσμένου καθορισμού εργασιών στο κινητό πρόγραμμα-πελάτη Muse για iOS χωρίς να γίνεται αντιληπτό.

Ο Wardle έγραψε στις 22 Σεπτεμβρίου 2026 ότι είχε υπάρξει επίσης μια απομακρυσμένη οδός επίθεσης: μια επίθεση τύπου ClickFix που απαιτεί μόνο μια εντολή που εκτελεί ο χρήστης θα μπορούσε να επιτρέψει την κατάληψη ελέγχου και να δώσει σε έναν απομακρυσμένο επιτιθέμενο έλεγχο σε επίπεδο Muse σε όλες τις συσκευές του θύματος που έχουν ενεργοποιημένο το Muse, συμπεριλαμβαμένου του iOS. Ανέφερε το ζήτημα τόσο στην ανάρτηση που επιβεβαίωνε τη διόρθωση όσο και σε μια μεταγενέστερη απάντηση στο νήμα αποκάλυψής του.

Το Τεκμηριωμένο Σχέδιο Ασφάλειας της Meta

Η Meta κυκλοφόρησε το Muse στις 8 Σεπτεμβρίου 2026, παρουσιάζοντάς το ως τον προσωπικό πράκτορα της εταιρείας σε μια ανάρτηση ερευνητικού blog που περιγράφει την αρχιτεκτονική ασφαλείας του συστήματος. Η Meta δήλωσε ότι σχεδίασε το σύστημα με την υπόθεση ότι ο πράκτορας μπορεί να βρίσκεται υπό επίθεση και με στόχο να περιορίζει τις πιθανές ζημιές. Σύμφωνα με αυτό το σχέδιο, το daemon του πράκτορα και τα εργαλεία που εκτελεί τρέχουν μέσα σε ένα κελί εκτέλεσης systemd‑nspawn απομονωμένο από το σύστημα υποδοχής, και ένας ξεχωριστός πράκτορας στο host, που ονομάζεται Sentinel, λειτουργεί ως η μοναδική αρχή εξουσιοδότησης για ενέργειες διασυνδέσεων και για όλη την εξερχόμενη κίνηση δικτύου. Τα διαπιστευτήρια για τις συνδεδεμένες υπηρεσίες αποθηκεύονται στην εικονική μηχανή του χρήστη, και το Sentinel πραγματοποιεί εισαγωγή διαπιστευτηρίων τη στιγμή που απαιτούνται στο όριο του δικτύου, ώστε ο πράκτορας να μην βλέπει ποτέ πραγματικά διακριτικά, σύμφωνα με την ανάρτηση.

Στην ίδια ανάρτηση, η Meta ανακοίνωσε ότι ανοίγει το πρόγραμμα bug bounty του Muse σε όλους, με βραβεία έως $300.000 για έγκυρες αναφορές, συμπεριλαμβανομένων έως $130.000 για επιτυχημένες προσπάθειες έγχυσης προτροπών που επηρεάζουν έναν χρήστη.

Το Κέντρο βοήθειας της Meta τεκμηριώνει πρόσθετες προστασίες: κάθε εικονική μηχανή χρήστη του Muse είναι απομονωμένη από τους πράκτορες άλλων χρηστών, τα διαπιστευτήρια όπως ονόματα χρήστη και κωδικοί πρόσβασης διατηρούνται σε ένα Secure Credentials Store που επιτρέπει στο Muse να ολοκληρώνει εξουσιοδοτημένες ενέργειες χωρίς το μοντέλο AI να βλέπει τον κωδικό πρόσβασης, και το Muse έχει σχεδιαστεί ώστε να ζητά επιβεβαίωση πριν από ορισμένες σημαντικές ενέργειες, όπως η αποστολή email ή η πραγματοποίηση αγοράς. Το Κέντρο βοήθειας δηλώνει ότι οι σημαντικοί έλεγχοι δικαιωμάτων πρόσβασης και ασφαλείας λειτουργούν ξεχωριστά από το μοντέλο AI, ώστε να μην εξαρτώνται από το μοντέλο να αναγνωρίσει μόνο του μια κακόβουλη εντολή.

Η ερευνητική ανάρτηση της Meta δηλώνει ότι το Muse δεν είναι άτρωτο σε επιθέσεις και ότι η έγχυση προτροπών παραμένει ανοιχτό πρόβλημα σε όλη τη βιομηχανία. Η εταιρεία ανέφερε ότι σχεδιάζει να προσφέρει ένα Muse Confidential VM, σχεδιασμένο να αποτρέπει κρυπτογραφικά και επαληθεύσιμα τη Meta από την πρόσβαση στα δεδομένα της εικονικής μηχανής ενός χρήστη, αργότερα φέτος.