Meta korjaa Muse‑n nollapäivähaavan, jonka avulla hyökkääjät voivat kaapata tekoälyagentin

Tietoturvatutkija Patrick Wardle kertoi 22. syyskuuta 2026, että Meta oli korjannut Muse‑ssa, sen äskettäin lanseeratussa henkilökohtaisessa tekoälyagentissa, löytyneen nollapäivähaavan, julkisen paljastuksensa jälkeen 21. syyskuuta 2026, jonka mukaan ei‑etuoikeutettu paikallinen prosessi saattoi ohjata Mac‑sovelluksen puheentunnistustiedot hyökkääjän hallitsemaan päätepisteeseen ja kaapata agentin huomaamattomasti.

Julkinen paljastus ja korjauksen vahvistus

Wardle julkaisi löydöksensä X‑säikeessä, joka alkoi klo 14:42 UTC 21. syyskuuta 2026, varoittaen käyttäjiä olemaan asentamatta Musea ja kirjoittaen, että vakavat nollapäivävirheet voisivat mahdollistaa paikallisen haittaohjelman tai hyökkääjien huomaamattoman agentin kaappauksen. Hän liitti säikeen GitHubissa olevaan proof‑of‑concept‑tietovarastoon, jonka otsikko on “not-a-mused”; tietovaraston commit‑historia näyttää sen kolme sitoutumista — projektin otsikon ja kuvauksen lisääminen, notamused.py‑skriptin luominen sekä README‑tiedoston päivittäminen — kaikki päivätty 21. syyskuuta 2026.

Julkaisussa hänen X‑profiilissaan, jonka aikaleima on 06:36 UTC 22. syyskuuta 2026, Wardle kirjoitti “Hurraa, korjattu!” ja kehuu korjauksen nopeutta. Myöhemmin samana päivänä hän kirjoitti olevansa täyden paljastuksen kannattaja, sanoen sen nopeuttavan vikojen korjaamista. Paljastussäikeessään hän oli ilmoittanut aikovansa jakaa lisätietoja ja lisää virheitä Objective by the Sea v9 -tietoturvakongressissa.

Puheentunnistus‑päätepistevirhe

Proof‑of‑concept‑dokumentaation mukaan Muse paljastaa dokumentoimattoman asetuksen, jonka nimi on endo_voyager_dictation_endpoint joka paikallinen hyökkääjä tai haittaohjelma voi muokata ilman erityisiä oikeuksia. Kun käyttäjä napsauttaa Muse‑sovelluksen mikrofonin painiketta ja puhuu komennon, Wardlen säikeen mukaan sovellus lähettää puheentunnistuksen hyökkääjän päätepisteeseen sen sijaan. README luettelee mahdolliset seuraukset: puheäänen ja komentojen kaappaaminen, komentojen injektointi Museen, Muse‑todennustietojen varastaminen sekä käyttäjän antaman agentille pääsyn väärinkäyttö. Tietovaraston dokumentaatio tiivistää vaikutuksen yhdeksi lauseeksi: “Muse‑pääsy voi mahdollisesti muuttua hyökkääjän pääsyoikeudeksi.”

Proof‑of‑concept toteuttaa osajoukon yli 50:stä Muse‑sovelluksen tarjoamasta komennosta, ja se käynnistyy mikrofonipainikkeen puheentunnistusvirran kautta, README:n mukaan. README toteaa, että hyökkäys on paikallinen: hyökkääjän on jo kyettävä suorittamaan koodia paikallisena käyttäjänä. Se asettaa riskin vahvistuksen näkökulmaan, väittäen, että Muse saattaa omaa merkittävästi laajemman pääsyn kuin tavallinen paikallinen haittaohjelma, mikä tekee siitä erityisen hyödyllisen kohteen oikeuksien ja pääsyn vahvistamiselle.

Säikeessään Wardle luetteli onnistuneen kaappauksen käytännön vaikutukset: käyttäjän puheäänen varastaminen, Museen luottamien ja suorittamien komentojen injektointi sekä käyttäjän todennustunnuksen varastaminen Museen suoraan ja huomaamattomasti hallitsemiseksi. Kaikki, mihin käyttäjä oli antanut Museelle pääsyn, mukaan lukien viestit, sähköpostit ja taloustiedot, olisi myös paikallisen hyökkääjän nähtävillä, hän kirjoitti. Erillisessä 21. syyskuuta julkaistussa viestissä hän kutsui haavoittuvuutta triviaaliksi hyödyntää ja pyysi korjausta.

Liitetyt laitteet ja etävektori

Wardlen kuvaama altistus ulottuu yhden Mac‑laitteen ulkopuolelle. 21. syyskuuta 2026 klo 20:30 UTC julkaistussa viestissä hän kirjoitti, että kun Mac on hyödynnetty, hyökkääjä voi olla vuorovaikutuksessa minkä tahansa käyttäjän liitetyn laitteen kanssa, jossa Muse on myös käynnissä, mukaan lukien mobiilisen iOS‑Muse‑asiakkaan etäohjaus huomaamattomasti.

Wardle kirjoitti 22. syyskuuta 2026, että myös etävektori oli olemassa: ClickFix‑tyylinen hyökkäys, joka vaatii vain yhden käyttäjän suorittaman komennon, voisi toteuttaa kaappauksen ja antaa etähyökkääjälle Muse‑tasoiset hallintaoikeudet kaikkiin uhrin Muse‑käyttöön otettuihin laitteisiin, mukaan lukien iOS. Hän nosti asian esiin sekä korjausta vahvistavassa viestissä että jatkoviestissä paljastussäikeessään.

Metan dokumentoitu turvallisuussuunnittelu

Meta lanseerasi Muse 8. syyskuuta 2026, esitellen sen yrityksen henkilökohtaisena agenttina tutkimusblogikirjoituksessa, jossa kuvattiin järjestelmän turvallisuusarkkitehtuuri. Meta kertoi suunnittelevansa järjestelmän olettamaan, että agentti saattaa olla hyökkäyksen kohteena, ja rajoittavan mahdollisen vahingon. Tämän suunnittelun mukaan agentin daemon ja sen suorittamat työkalut toimivat systemd‑nspawn‑ajonaikakontissa, joka on eristetty isäntäjärjestelmästä, ja erillinen isäntäpuolen agentti nimeltä Sentinel toimii ainoana lupaviranomaisena liitin‑toiminnoille ja kaikelle verkkoliikenteelle. Yhdistettyjen palveluiden tunnistetiedot tallennetaan käyttäjän virtuaalikoneeseen, ja Sentinel suorittaa oikea‑aikaista tunnistetietojen lisäystä verkon reunalla, jolloin agentti ei koskaan näe todellisia tunnuksia, kirjoituksen mukaan.

Samaan kirjoitukseen Meta ilmoitti avauttavansa Muse‑virhepalkkio‑ohjelman kaikille, palkintoina jopa 300 000 $ kelvollisista raporteista, mukaan lukien jopa 130 000 $ onnistuneista komento‑injektioyrityksistä, jotka vaikuttavat yhteen käyttäjään.

Metan Ohjekeskus dokumentoi lisäsuojauksia: jokaisen Muse‑käyttäjän virtuaalikone on eristetty muiden käyttäjien agenteista, tunnistetiedot kuten käyttäjätunnukset ja salasanat säilytetään Turvallisessa Tunnistetietovarastossa, jonka avulla Muse voi suorittaa valtuutettuja toimia ilman, että AI‑malli näkee salasanaa, ja Muse on suunniteltu pyytämään vahvistusta ennen tiettyjä tärkeitä toimintoja, kuten sähköpostin lähettämistä tai ostoksen tekemistä. Ohjekeskus toteaa, että tärkeät käyttöoikeus‑ ja turvallisuustarkastukset toimivat erillään AI‑mallista, joten ne eivät perustu siihen, että malli tunnistaisi haitallisen käskyn itsenäisesti.

Metan tutkimusjulkaisu toteaa, että Muse ei ole immuuni hyökkäyksiin, eikä kehotusruiskutus ole alalla edelleen avoin ongelma. Yritys kertoi suunnittelevansa Muse Confidential -VM:n, jonka on suunniteltu kryptografisesti ja todistettavasti estämään Metaa itseäään pääsemästä käyttäjän VM:n tietoihin myöhemmin tänä vuonna.