Meta ने Muse की ज़ीरो-डे को हॉट-फ़िक्स किया, जिससे हमलावर AI एजेंट को हाइज़ैक कर सकें

सुरक्षा शोधकर्ता पैट्रिक वार्डले ने 22 सितंबर 2026 को कहा कि Meta ने Muse, अपने नवीनतम लॉन्च किए गए व्यक्तिगत AI एजेंट में, एक ज़ीरो-डे कमजोरी को हॉट-फ़िक्स किया, यह उनके 21 सितंबर 2026 के सार्वजनिक खुलासे के बाद था, जिसमें बताया गया था कि एक अनाधिकारित स्थानीय प्रक्रिया मैक ऐप की डिक्टेशन ट्रैफ़िक को हमलावर-नियंत्रित एंडपॉइंट पर पुनर्निर्देशित कर सकती है और एजेंट को अदृश्य रूप से हाइज़ैक कर सकती है।

सार्वजनिक खुलासा और पैच पुष्टि

वार्डले ने अपने निष्कर्षों को एक X थ्रेड में प्रकाशित किया, जो 21 सितंबर 2026 को 14:42 UTC पर शुरू हुआ, जिसमें उपयोगकर्ताओं को Muse स्थापित न करने की चेतावनी दी और लिखा कि गंभीर ज़ीरो-डे खामियां स्थानीय मैलवेयर या हमलावरों को एजेंट को अदृश्य रूप से हाइज़ैक करने दे सकती हैं। उन्होंने इस थ्रेड को GitHub पर “not-a-mused” शीर्षक वाले प्रूफ़‑ऑफ़‑कॉन्सेप्ट रिपॉजिटरी के साथ जोड़ा; रिपॉजिटरी का कमिट इतिहास उसके तीन कमिट दिखाता है — प्रोजेक्ट शीर्षक और विवरण जोड़ना, notamused.py स्क्रिप्ट बनाना, और README को अपडेट करना — सभी 21 सितंबर 2026 को दिनांकित।

उसके X प्रोफ़ाइल पर एक पोस्ट में, जिसका टाइमस्टैम्प 22 सितंबर 2026 को 06:36 UTC था, वार्डले ने “हुर्रे, हॉट‑फ़िक्स्ड!” लिखा और पैच की गति की प्रशंसा की। उसी दिन की एक बाद की पोस्ट में, उन्होंने लिखा कि वे पूर्ण खुलासे के समर्थक हैं, यह कहते हुए कि इससे बग जल्दी ठीक होते हैं। अपने खुलासा थ्रेड में, उन्होंने कहा था कि वे Objective by the Sea v9 सुरक्षा सम्मेलन में अधिक विवरण और अधिक बग साझा करेंगे।

डिक्टेशन‑एंडपॉइंट त्रुटि

प्रूफ़‑ऑफ़‑कॉन्सेप्ट दस्तावेज़ीकरण के अनुसार, Muse एक अनडॉक्यूमेंटेड सेटिंग उजागर करता है, जिसे कहा जाता है endo_voyager_dictation_endpoint जो एक स्थानीय हमलावर या मैलवेयर विशेष विशेषाधिकारों के बिना संशोधित कर सकता है। जब उपयोगकर्ता Muse के माइक्रोफ़ोन बटन पर क्लिक करके एक प्रॉम्प्ट डिक्टेट करता है, तो वार्डले के थ्रेड के अनुसार, ऐप डिक्टेशन को हमलावर के एंडपॉइंट पर भेज देता है। README संभावित परिणामों की सूची देता है: डिक्टेटेड ऑडियो और प्रॉम्प्ट का कब्ज़ा, Muse में प्रॉम्प्ट इंजेक्शन, Muse प्रमाणीकरण सामग्री की चोरी, और उपयोगकर्ता द्वारा एजेंट को दी गई किसी भी पहुँच का दुरुपयोग। रिपॉजिटरी दस्तावेज़ीकरण एक पंक्ति में प्रभाव का सारांश देता है: “Muse की पहुँच संभावित रूप से हमलावर की पहुँच बन सकती है।”

प्रूफ़‑ऑफ़‑कॉन्सेप्ट 50 से अधिक कमांड्स में से एक उपसमुच्चय को लागू करता है जो Muse उजागर करता है और माइक्रोफ़ोन‑बटन डिक्टेशन फ्लो के माध्यम से ट्रिगर होता है, जैसा कि README में बताया गया है। README नोट करता है कि हमला स्थानीय है: एक हमलावर को पहले से ही स्थानीय उपयोगकर्ता के रूप में कोड निष्पादित करने में सक्षम होना चाहिए। यह जोखिम को वृद्धि के रूप में प्रस्तुत करता है, यह बताते हुए कि Muse सामान्य स्थानीय मैलवेयर की तुलना में काफी व्यापक पहुँच रख सकता है, जिससे यह विशेषाधिकार और पहुँच वृद्धि के लिए एक विशेष रूप से उपयोगी लक्ष्य बन जाता है।

अपने थ्रेड में, वार्डले ने सफल हाइज़ैक के व्यावहारिक प्रभावों की सूची दी: उपयोगकर्ता के डिक्टेटेड ऑडियो की चोरी, ऐसे प्रॉम्प्ट इंजेक्ट करना जिन्हें Muse भरोसा करता है और निष्पादित करता है, और उपयोगकर्ता के प्रमाणीकरण टोकन की चोरी करके Muse को सीधे और अदृश्य रूप से नियंत्रित करना। उपयोगकर्ता द्वारा Muse को दी गई किसी भी पहुँच, जिसमें संदेश, ईमेल और वित्तीय जानकारी शामिल है, भी स्थानीय हमलावर के सामने उजागर हो जाएगी, उन्होंने लिखा। 21 सितंबर को एक अलग पोस्ट में, उन्होंने इस त्रुटि को शोषण में सरल बताया और एक समाधान की मांग की।

जुड़े हुए उपकरण और एक रिमोट वेक्टर

वार्डले द्वारा वर्णित एक्सपोज़र एकल मैक से परे है। 21 सितंबर 2026 को 20:30 UTC पर एक पोस्ट में, उन्होंने लिखा कि एक बार मैक का शोषण हो जाने पर, एक हमलावर उपयोगकर्ता के किसी भी जुड़े हुए उपकरण के साथ इंटरैक्ट कर सकता है जो Muse चला रहा है, जिसमें मोबाइल iOS Muse क्लाइंट को दूरस्थ रूप से अदृश्य रूप से कार्य सौंपना भी शामिल है।

वार्डले ने 22 सितंबर 2026 को लिखा कि एक रिमोट वेक्टर भी मौजूद था: एक ClickFix‑शैली का हमला, जो केवल एक उपयोगकर्ता‑चलाए कमांड की आवश्यकता रखता है, हाइज़ैक को डिलीवर कर सकता है और एक रिमोट हमलावर को पीड़ित के सभी Muse‑सक्षम उपकरणों, जिसमें iOS भी शामिल है, पर Muse‑स्कोप्ड नियंत्रण दे सकता है। उन्होंने यह बिंदु पैच की पुष्टि करने वाली पोस्ट में और अपने खुलासा थ्रेड में एक फॉलो‑अप उत्तर में दोनों जगह उठाया।

Meta की दस्तावेज़ीकृत सुरक्षा डिज़ाइन

Meta ने 8 सितंबर 2026 को Muse लॉन्च किया, इसे कंपनी के व्यक्तिगत एजेंट के रूप में एक शोध ब्लॉग पोस्ट में प्रस्तुत किया, जिसमें सिस्टम की सुरक्षा वास्तुकला का विवरण दिया गया था। Meta ने कहा कि उन्होंने सिस्टम को इस तरह डिजाइन किया है कि एजेंट पर हमला हो सकता है और संभावित नुकसान को सीमित किया जा सके। इस डिज़ाइन के तहत, एजेंट का डेमन और उसके द्वारा चलाए जाने वाले टूल्स systemd-nspawn रनटाइम सेल के भीतर होस्ट सिस्टम से अलगाव में चलते हैं, और एक अलग होस्ट‑साइड एजेंट जिसे Sentinel कहा जाता है, कनेक्टर क्रियाओं और सभी नेटवर्क आउटगोइंग के लिए एकमात्र अनुमति प्राधिकरण के रूप में कार्य करता है। जुड़े हुए सेवाओं के क्रेडेंशियल्स उपयोगकर्ता की वर्चुअल मशीन में संग्रहीत होते हैं, और Sentinel नेटवर्क सीमा पर जस्ट‑इन‑टाइम क्रेडेंशियल इन्सर्शन करता है, इसलिए एजेंट को वास्तविक टोकन कभी नहीं दिखते, पोस्ट के अनुसार।

उसी पोस्ट में, Meta ने कहा कि वह Muse बग बाउंटी प्रोग्राम को सभी के लिए खोल रहा है, वैध रिपोर्टों के लिए अधिकतम $300,000 तक के पुरस्कार प्रदान कर रहा है, जिसमें एक उपयोगकर्ता को प्रभावित करने वाले सफल प्रॉम्प्ट‑इंजेक्शन प्रयासों के लिए अधिकतम $130,000 तक शामिल हैं।

Meta’s Help Center अतिरिक्त सुरक्षा उपायों का दस्तावेज़ीकरण करता है: प्रत्येक Muse उपयोगकर्ता की वर्चुअल मशीन अन्य उपयोगकर्ताओं के एजेंटों से अलग‑थलग रहती है, उपयोगकर्ता नाम और पासवर्ड जैसे क्रेडेंशियल्स को एक Secure Credentials Store में सुरक्षित रखा जाता है जिससे Muse को पासवर्ड देखे बिना अधिकृत कार्य पूर्ण करने की अनुमति मिलती है, और Muse को कुछ महत्वपूर्ण कार्यों—जैसे ई‑मेल भेजना या खरीदारी करना—से पहले पुष्टि माँगने के लिए डिज़ाइन किया गया है। हेल्प सेंटर बताता है कि महत्वपूर्ण अनुमति और सुरक्षा जाँचें AI मॉडल से अलग चलती हैं, इसलिए वे मॉडल पर इस बात का निर्भर नहीं करतीं कि वह स्वयं दुर्भावनापूर्ण निर्देश को पहचान सके।

Meta के शोध पोस्ट में कहा गया है कि Muse हमले के प्रति प्रतिरक्षित नहीं है और प्रॉम्प्ट इंजेक्शन उद्योग भर में अभी भी एक खुला मुद्दा बना हुआ है। कंपनी ने बताया कि वह इस वर्ष के अंत में Muse Confidential VM प्रदान करने की योजना बना रही है, जिसे इस तरह डिज़ाइन किया गया है कि Meta स्वयं उपयोगकर्ता की VM में डेटा तक पहुँचने से क्रिप्टोग्राफ़िक और सत्यापनीय रूप से रोका जा सके।