Meta Memperbaiki Cepat Zero-Day Muse yang Memungkinkan Penyerang Mengambil Alih Agen AI

Peneliti keamanan Patrick Wardle mengatakan pada 22 September 2026 bahwa Meta telah memperbaiki secara cepat kerentanan zero-day pada Muse, agen AI pribadi yang baru diluncurkan, setelah pengungkapan publiknya pada 21 September 2026 bahwa proses lokal tanpa hak istimewa dapat mengarahkan lalu lintas dikte aplikasi Mac ke endpoint yang dikendalikan penyerang dan secara tak terlihat mengambil alih agen tersebut.

Pengungkapan Publik dan Konfirmasi Perbaikan

Wardle mempublikasikan temuanannya dalam sebuah thread X yang dimulai pada 14:42 UTC 21 September 2026, memperingatkan pengguna untuk tidak menginstal Muse dan menulis bahwa kerentanan zero-day yang serius dapat memungkinkan malware lokal atau penyerang mengambil alih agen secara tak terlihat. Ia menautkan thread tersebut dengan repositori proof-of-concept di GitHub berjudul “not-a-mused”; riwayat komit repositori menunjukkan tiga komitnya — menambahkan judul dan deskripsi proyek, membuat skrip notamused.py, dan memperbarui README — semuanya bertanggal 21 September 2026.

Dalam sebuah posting di profil X-nya yang diberi cap waktu 06:36 UTC 22 September 2026, Wardle menulis “Hooray, hot-fixed!” dan memuji kecepatan perbaikan tersebut. Dalam posting selanjutnya pada hari itu, ia menulis bahwa ia penggemar pengungkapan penuh, dengan mengatakan hal itu membuat bug diperbaiki lebih cepat. Dalam thread pengungkapannya, ia mengatakan bahwa ia akan membagikan lebih banyak detail, dan lebih banyak bug, pada konferensi keamanan Objective by the Sea v9.

Kerentanan Titik Akhir Dikta

Menurut dokumentasi proof-of-concept, Muse mengekspos pengaturan yang tidak terdokumentasi yang disebut endo_voyager_dictation_endpoint bahwa penyerang lokal atau malware dapat memodifikasinya tanpa hak istimewa khusus. Ketika pengguna mengklik tombol mikrofon Muse dan mendikte sebuah prompt, thread Wardle menyatakan, aplikasi mengirimkan dikte tersebut ke endpoint penyerang alih-alih. README mencantumkan konsekuensi potensial: penangkapan audio dan prompt yang didikte, injeksi prompt ke Muse, pencurian materi autentikasi Muse, dan penyalahgunaan akses apa pun yang telah diberikan pengguna kepada agen. dokumentasi repositori merangkum dampaknya dalam satu baris: “Akses Muse berpotensi menjadi akses penyerang.”

Proof-of-concept mengimplementasikan subset dari lebih dari 50 perintah yang diekspos Muse dan dipicu melalui alur dikte tombol mikrofon, menurut README. README mencatat bahwa serangan ini bersifat lokal: penyerang harus sudah dapat mengeksekusi kode sebagai pengguna lokal. Risiko ini digambarkan sebagai amplifikasi, dengan menyatakan bahwa Muse mungkin memiliki akses yang jauh lebih luas dibandingkan malware lokal biasa, yang menjadikannya target yang sangat berguna untuk amplifikasi hak istimewa dan akses.

Dalam thread-nya, Wardle mencantumkan dampak praktis dari hijack yang berhasil: mencuri audio yang didikte pengguna, menyuntikkan prompt yang dipercayai dan dijalankan Muse, serta mencuri token autentikasi pengguna untuk mengendalikan Muse secara langsung dan tak terlihat. Apa pun yang telah diberikan pengguna kepada Muse, termasuk pesan, email, dan keuangan, juga akan terekspos kepada penyerang lokal, tulisnya. Dalam posting terpisah pada 21 September, ia menyebut kerentanan tersebut mudah dieksploitasi dan meminta perbaikan.

Perangkat Terkoneksi dan Vektor Jarak Jauh

Paparan yang dijelaskan Wardle melampaui satu Mac saja. Dalam sebuah posting pada 20:30 UTC 21 September 2026, ia menulis bahwa setelah sebuah Mac dieksploitasi, penyerang dapat berinteraksi dengan perangkat terhubung pengguna mana pun yang juga menjalankan Muse, termasuk menugaskan secara remote klien Muse iOS mobile secara tak terlihat.

Wardle menulis pada 22 September 2026 bahwa vektor jarak jauh juga ada: serangan gaya ClickFix yang hanya memerlukan satu perintah yang dijalankan pengguna dapat menyampaikan hijack dan memberi penyerang jarak jauh kontrol berskala Muse atas semua perangkat yang mendukung Muse milik korban, termasuk iOS. Ia mengangkat poin tersebut baik dalam posting yang mengonfirmasi perbaikan maupun dalam balasan lanjutan di thread pengungkapannya.

Desain Keamanan Terdokumentasi Meta

Meta meluncurkan Muse pada 8 September 2026, memperkenalkannya sebagai agen pribadi perusahaan dalam sebuah posting blog riset yang merinci arsitektur keamanan sistem. Meta mengatakan bahwa sistem dirancang dengan asumsi agen mungkin berada di bawah serangan dan untuk membatasi potensi kerusakan. Berdasarkan desain tersebut, daemon agen dan alat yang dijalankannya berjalan di dalam sel runtime systemd-nspawn yang terisolasi dari sistem host, dan agen terpisah di sisi host yang disebut Sentinel berfungsi sebagai otoritas izin tunggal untuk tindakan konektor dan semua keluaran jaringan. Kredensial untuk layanan terhubung disimpan di mesin virtual pengguna, dan Sentinel melakukan penyisipan kredensial just-in-time pada batas jaringan, sehingga agen tidak pernah melihat token asli, menurut posting tersebut.

Dalam posting yang sama, Meta mengatakan bahwa program bug bounty Muse dibuka untuk siapa saja, dengan hadiah hingga $300.000 untuk laporan yang valid, termasuk hingga $130.000 untuk upaya injeksi prompt yang berhasil dan memengaruhi satu pengguna.

Meta’s Help Center mendokumentasikan perlindungan tambahan: setiap mesin virtual pengguna Muse diisolasi dari agen pengguna lain, kredensial seperti nama pengguna dan kata sandi disimpan dalam Secure Credentials Store yang memungkinkan Muse menyelesaikan tindakan yang diotorisasi tanpa model AI melihat kata sandi, dan Muse dirancang untuk meminta konfirmasi sebelum tindakan penting tertentu, seperti mengirim email atau melakukan pembelian. Help Center menyatakan bahwa pemeriksaan izin dan keamanan penting beroperasi terpisah dari model AI, sehingga tidak bergantung pada model yang secara mandiri mengenali instruksi berbahaya.

Posting riset Meta menyatakan bahwa Muse tidak kebal terhadap serangan dan bahwa injeksi prompt tetap menjadi masalah terbuka di seluruh industri. Perusahaan mengatakan bahwa mereka berencana meluncurkan Muse Confidential VM, yang dirancang untuk secara kriptografis dan dapat diverifikasi mencegah Meta sendiri mengakses data di VM pengguna, pada akhir tahun ini.