Η Meta διορθώνει επειγόντως το μηδενικό σφάλμα του Muse που επέτρεψε σε επιτιθέμενους να υποκλέψουν τον AI πράκτορα

Ο ερευνητής ασφαλείας Patrick Wardle δήλωσε στις 22 Σεπτεμβρίου 2026 ότι η Meta είχε διορθώσει επειγόντως μια ευπάθεια μηδενικού ημερολογίου στο Muse, τον πρόσφατα λανσαρισμένο προσωπικό AI πράκτορα, μετά τη δημόσια αποκάλυψή του στις 21 Σεπτεμβρίου 2026 ότι μια μη προνομιούχα τοπική διεργασία μπορούσε να ανακατευθύνει την κίνηση φωνητικής εντολής της εφαρμογής Mac σε ένα σημείο ελέγχου από τον επιτιθέμενο και να υποκλέψει αόρατα τον πράκτορα.

Δημόσια Αποκάλυψη και Επιβεβαίωση Διόρθωσης

Ο Wardle δημοσίευσε τα ευρήματά του σε ένα νήμα στο X που ξεκίνησε στις 14:42 UTC στις 21 Σεπτεμβρίου 2026, προειδοποιώντας τους χρήστες να μην εγκαταστήσουν το Muse και γράφοντας ότι σοβαρά σφάλματα μηδενικού ημερολογίου θα μπορούσαν να επιτρέψουν σε τοπικό κακόβουλο λογισμικό ή επιτιθέμενους να υποκλέψουν αόρατα τον πράκτορα. Συνδύασε το νήμα με ένα αποθετήριο proof‑of‑concept στο GitHub με τίτλο “not-a-mused”· το ιστορικό αλλαγών του αποθετηρίου εμφανίζει τρεις δεσμεύσεις — προσθήκη του τίτλου και της περιγραφής του έργου, δημιουργία του script notamused.py και ενημέρωση του README — όλες με ημερομηνία 21 Σεπτεμβρίου 2026.

Σε μια ανάρτηση στο προφίλ του στο X με χρονική σήμανση 06:36 UTC στις 22 Σεπτεμβρίου 2026, ο Wardle έγραψε «Ουάου, διορθώθηκε!» και επαίνεσε την ταχύτητα της διόρθωσης. Σε μια μεταγενέστερη ανάρτηση εκείνη τη μέρα, ανέφερε ότι είναι υποστηρικτής της πλήρους αποκάλυψης, λέγοντας ότι έτσι τα σφάλματα διορθώνονται πιο γρήγορα. Στο νήμα αποκάλυψής του, είχε δηλώσει ότι θα μοιραστεί περισσότερες λεπτομέρειες, και περισσότερα σφάλματα, στη συνέδριο ασφαλείας Objective by the Sea v9.

Το Σφάλμα Τερματικού Δικτυακής Καταγραφής

Σύμφωνα με την τεκμηρίωση του proof‑of‑concept, το Muse εκθέτει μια μη τεκμηριωμένη ρύθμιση που ονομάζεται endo_voyager_dictation_endpoint που ένας τοπικός επιτιθέμενος ή κακόβουλο λογισμικό μπορεί να τροποποιήσει χωρίς ειδικά προνόμια. Όταν ένας χρήστης κάνει κλικ στο κουμπί μικροφώνου του Muse και καταχωρεί μια εντολή, το νήμα του Wardle αναφέρει ότι η εφαρμογή στέλνει την καταγραφή στον τελικό του επιτιθέμενου. Το README παραθέτει τις πιθανές συνέπειες: σύλληψη του ηχογραφημένου ήχου και των εντολών, ένεση εντολών στο Muse, κλοπή υλικού πιστοποίησης του Muse και κατάχρηση οποιασδήποτε πρόσβασης που ο χρήστης έχει χορηγήσει στον πράκτορα. Η τεκμηρίωση αποθετηρίου συνοψίζει τον αντίκτυπο σε μία γραμμή: «Η πρόσβαση του Muse μπορεί ενδεχομένως να γίνει η πρόσβαση του επιτιθέμενου.»

Το proof‑of‑concept υλοποιεί ένα υποσύνολο των περισσότερων από 50 εντολών που εκθέτει το Muse και ενεργοποιείται μέσω της ροής καταγραφής μέσω του κουμπιού μικροφώνου, σύμφωνα με το README. Το README σημειώνει ότι η επίθεση είναι τοπική: ο επιτιθέμενος πρέπει ήδη να μπορεί να εκτελέσει κώδικα ως ο τοπικός χρήστης. Περιγράφει τον κίνδυνο ως ενίσχυση, δηλώνοντας ότι το Muse μπορεί να έχει σημαντικά ευρύτερη πρόσβαση από το συνηθισμένο τοπικό κακόβουλο λογισμικό, γεγονός που το καθιστά ιδιαίτερα χρήσιμο στόχο για ενίσχυση προνομίων και πρόσβασης.

Στο νήμα του, ο Wardle ανέφερε τον πρακτικό αντίκτυπο μιας επιτυχημένης υποκλοπής: κλοπή του ηχογραφημένου ήχου του χρήστη, ένεση εντολών που το Muse εμπιστεύεται και εκτελεί, και κλοπή του διακριτικού πιστοποίησης του χρήστη για άμεσο και αόρατο έλεγχο του Muse. Οποιαδήποτε πρόσβαση είχε χορηγήσει ο χρήστης στο Muse, συμπεριλαμβανομένων μηνυμάτων, email και οικονομικών, θα εκτέθει επίσης στον τοπικό επιτιθέμενο, έγραψε. Σε μια ξεχωριστή ανάρτηση στις 21 Σεπτεμβρίου, χαρακτήρισε το σφάλμα ως τετριμμένο προς εκμετάλλευση και ζήτησε μια διόρθωση.

Συνδεδεμένες Συσκευές και Απομακρυσμένος Διάνυσμα

Η έκθεση που περιέγραψε ο Wardle εκτείνεται πέρα από ένα μόνο Mac. Σε ανάρτηση στις 20:30 UTC στις 21 Σεπτεμβρίου 2026, έγραψε ότι μόλις εκμεταλλευτείται ένα Mac, ο επιτιθέμενος μπορεί να αλληλεπιδράσει με οποιεσδήποτε από τις συνδεδεμένες συσκευές του χρήστη που τρέχουν επίσης το Muse, συμπεριλαμβανομένου του απομακρυσμένου καθορισμού εργασιών στον κινητό πελάτη iOS του Muse αόρατα.

Ο Wardle έγραψε στις 22 Σεπτεμβρίου 2026 ότι υπήρχε επίσης ένας απομακρυσμένος διάνυσμα: μια επίθεση τύπου ClickFix που απαιτεί μόνο μια εντολή που εκτελεί ο χρήστης θα μπορούσε να παραδώσει την υποκλοπή και να δώσει σε έναν απομακρυσμένο επιτιθέμενο έλεγχο σε επίπεδο Muse σε όλες τις συσκευές του θύματος που έχουν ενεργοποιημένο το Muse, συμπεριλαμβαμένου του iOS. Ανέφερε το ζήτημα τόσο στην ανάρτηση που επιβεβαίωνε τη διόρθωση όσο και σε μια απάντηση παρακολούθησης στο νήμα αποκάλυψής του.

Το Τεκμηριωμένο Σχέδιο Ασφάλειας της Meta

Η Meta κυκλοφόρησε το Muse στις 8 Σεπτεμβρίου 2026, παρουσιάζοντάς το ως τον προσωπικό πράκτορα της εταιρείας σε μια ανάρτηση ερευνητικού blog που περιγράφει την αρχιτεκτονική ασφαλείας του συστήματος. Η Meta δήλωσε ότι σχεδίασε το σύστημα με την υπόθεση ότι ο πράκτορας μπορεί να βρίσκεται υπό επίθεση και να περιορίσει τις πιθανές ζημιές. Σύμφωνα με αυτό το σχέδιο, το daemon του πράκτορα και τα εργαλεία που εκτελεί τρέχουν μέσα σε ένα κελί εκτέλεσης systemd‑nspawn απομονωμένο από το σύστημα υποδοχής, και ένας ξεχωριστός πράκτορας στο host, που ονομάζεται Sentinel, λειτουργεί ως η μοναδική αρχή εξουσιοδότησης για ενέργειες συνδετήρων και για όλη την εξερχόμενη κίνηση δικτύου. Τα διαπιστευτήρια για τις συνδεδεμένες υπηρεσίες αποθηκεύονται στη εικονική μηχανή του χρήστη, και το Sentinel πραγματοποιεί εισαγωγή διαπιστευτηρίων σε πραγματικό χρόνο στο όριο του δικτύου, ώστε ο πράκτορας να μην βλέπει ποτέ πραγματικά διακριτικά, σύμφωνα με την ανάρτηση.

Στην ίδια ανάρτηση, η Meta ανακοίνωσε ότι ανοίγει το πρόγραμμα bug bounty του Muse σε όλους, με βραβεία έως $300.000 για έγκυρες αναφορές, συμπεριλαμβανομένων έως $130.000 για επιτυχημένες προσπάθειες ένεσης εντολών που επηρεάζουν έναν χρήστη.

Κέντρο βοήθειας της Meta τεκμηριώνει πρόσθετες προστασίες: κάθε εικονική μηχανή χρήστη του Muse είναι απομονωμένη από τους πράκτορες άλλων χρηστών, τα διαπιστευτήρια όπως ονόματα χρήστη και κωδικοί πρόσβασης διατηρούνται σε ένα Secure Credentials Store που επιτρέπει στο Muse να ολοκληρώνει εξουσιοδοτημένες ενέργειες χωρίς το μοντέλο AI να βλέπει τον κωδικό πρόσβασης, και το Muse έχει σχεδιαστεί ώστε να ζητά επιβεβαίωση πριν από ορισμένες σημαντικές ενέργειες, όπως η αποστολή email ή η πραγματοποίηση αγοράς. Το Κέντρο βοήθειας δηλώνει ότι οι σημαντικοί έλεγχοι αδειών και ασφαλείας λειτουργούν ξεχωριστά από το μοντέλο AI, ώστε να μην εξαρτώνται από το μοντέλο να αναγνωρίσει μόνο του μια κακόβουλη εντολή.

Η ερευνητική ανάρτηση της Meta δηλώνει ότι το Muse δεν είναι αδιάφορο σε επιθέσεις και ότι η ένεση προτροπών παραμένει ανοιχτό πρόβλημα σε όλη τη βιομηχανία. Η εταιρεία ανέφερε ότι σχεδιάζει να προσφέρει ένα Muse Confidential VM, σχεδιασμένο να αποτρέπει κρυπτογραφικά και επαληθεύσιμα τη Meta από την πρόσβαση στα δεδομένα της εικονικής μηχανής ενός χρήστη, αργότερα φέτος.