Meta applica una correzione urgente alla zero-day di Muse che consente agli aggressori di dirottare l’agente IA

Il ricercatore di sicurezza Patrick Wardle ha dichiarato il 22 settembre 2026 che Meta aveva applicato una correzione urgente a una vulnerabilità zero-day in Muse, il suo agente IA personale appena lanciato, dopo la sua divulgazione pubblica del 21 settembre 2026 secondo cui un processo locale non privilegiato poteva reindirizzare il traffico di dettatura dell’app Mac verso un endpoint controllato da un aggressore e dirottare l’agente in modo invisibile.

Divulgazione pubblica e conferma della patch

Wardle ha pubblicato le sue scoperte in un thread su X iniziato alle 14:42 UTC del 21 settembre 2026, avvertendo gli utenti di non installare Muse e scrivendo che gravi vulnerabilità zero-day potrebbero consentire a malware locale o a aggressori di dirottare l’agente in modo invisibile. Ha associato il thread a un repository proof-of-concept su GitHub intitolato “not-a-mused”; la cronologia dei commit del repository mostra i suoi tre commit — aggiunta del titolo e della descrizione del progetto, creazione dello script notamused.py e aggiornamento del README — tutti datati 21 settembre 2026.

In un post sul suo profilo X con timestamp 06:36 UTC del 22 settembre 2026, Wardle ha scritto “Evviva, correzione urgente!” e ha elogiato la rapidità della patch. In un successivo post dello stesso giorno, ha scritto di essere un sostenitore della divulgazione completa, affermando che così i bug vengono risolti più rapidamente. Nel suo thread di divulgazione, aveva detto che avrebbe condiviso ulteriori dettagli e altri bug alla conferenza di sicurezza Objective by the Sea v9.

La vulnerabilità dell’endpoint di dettatura

Secondo la documentazione del proof-of-concept, Muse espone un’impostazione non documentata chiamata endo_voyager_dictation_endpoint che un aggressore locale o un malware può modificare senza privilegi speciali. Quando un utente clicca sul pulsante microfono di Muse e detta un prompt, il thread di Wardle afferma che l’app invia la dettatura all’endpoint dell’aggressore invece. Il README elenca le potenziali conseguenze: cattura dell’audio dettato e dei prompt, iniezione di prompt in Muse, furto del materiale di autenticazione di Muse e abuso di qualsiasi accesso che l’utente ha concesso all’agente. La documentazione del repository riassume l’impatto in una frase: “L’accesso di Muse può potenzialmente diventare l’accesso dell’aggressore.”

Il proof-of-concept implementa un sottoinsieme dei più di 50 comandi esposti da Muse ed è attivato attraverso il flusso di dettatura del pulsante microfono, secondo il README. Il README osserva che l’attacco è locale: un aggressore deve già essere in grado di eseguire codice come utente locale. Inquadra il rischio come una forma di amplificazione, affermando che Muse potrebbe avere un accesso significativamente più ampio rispetto a un malware locale ordinario, il che lo rende un bersaglio particolarmente utile per l’amplificazione di privilegi e di accesso.

Nel suo thread, Wardle ha elencato l’impatto pratico di un dirottamento riuscito: il furto dell’audio dettato dall’utente, l’iniezione di prompt che Muse accetta ed esegue, e il furto del token di autenticazione dell’utente per controllare Muse direttamente e in modo invisibile. Qualsiasi cosa l’utente avesse concesso a Muse, inclusi messaggi, email e dati finanziari, sarebbe stata esposta all’aggressore locale, ha scritto. In un post separato del 21 settembre, ha definito la vulnerabilità banale da sfruttare e ha chiesto una correzione.

Dispositivi connessi e vettore remoto

L’esposizione descritta da Wardle si estende oltre un singolo Mac. In un post alle 20:30 UTC del 21 settembre 2026, ha scritto che una volta che un Mac è compromesso, un aggressore può interagire con qualsiasi dispositivo connesso dell’utente che esegue anche Muse, inclusa la possibilità di assegnare compiti in remoto al client Muse per iOS in modo invisibile.

Wardle ha scritto il 22 settembre 2026 che esisteva anche un vettore remoto: un attacco in stile ClickFix che richiede solo un singolo comando eseguito dall’utente poteva effettuare il dirottamento e concedere a un aggressore remoto il controllo su tutti i dispositivi abilitati a Muse della vittima, inclusi iOS. Ha sollevato il punto sia nel post che confermava la patch sia in una risposta di follow‑up nel suo thread di divulgazione.

Design di sicurezza documentato di Meta

Meta ha lanciato Muse l’8 settembre 2026, presentandolo come l’agente personale dell’azienda in un post del blog di ricerca che descrive l’architettura di sicurezza del sistema. Meta ha dichiarato di aver progettato il sistema assumendo che l’agente possa essere sotto attacco e di limitare i danni potenziali. Con questo design, il demone dell’agente e gli strumenti che esegue operano all’interno di una cella runtime systemd-nspawn isolata dal sistema host, e un agente separato lato host chiamato Sentinel funge da unica autorità di permesso per le azioni dei connettori e per tutto il traffico in uscita. Le credenziali per i servizi connessi sono archiviate nella macchina virtuale dell’utente, e Sentinel esegue l’inserimento delle credenziali just‑in‑time al confine di rete, così l’agente non vede mai i token reali, secondo il post.

Nello stesso post, Meta ha dichiarato di aprire il programma di bug bounty di Muse a chiunque, con premi fino a $300.000 per segnalazioni valide, inclusi fino a $130.000 per tentativi riusciti di iniezione di prompt che colpiscono un singolo utente.

Meta’s Help Center documenta protezioni aggiuntive: la macchina virtuale di ogni utente di Muse è isolata dagli agenti degli altri utenti, le credenziali come nomi utente e password sono conservate in un Secure Credentials Store che consente a Muse di completare azioni autorizzate senza che il modello AI veda la password, e Muse è progettato per chiedere conferma prima di alcune azioni importanti, come l’invio di un’email o l’effettuare un acquisto. Il Help Center afferma che i controlli di autorizzazione e sicurezza importanti operano separatamente dal modello AI, quindi non dipendono dal modello nel riconoscere autonomamente un’istruzione malevola.

Il post di ricerca di Meta afferma che Muse non è immune agli attacchi e che l’iniezione di prompt rimane un problema aperto nell’intero settore. L’azienda ha dichiarato che prevede di fornire una Muse Confidential VM, progettata per impedire in modo crittografico e verificabile a Meta stesso di accedere ai dati nella VM di un utente, entro la fine di quest’anno.