Meta verhelpt met een spoedpatch de Muse-zero-day waarmee aanvallers de AI-agent konden kapen

Beveiligingsonderzoeker Patrick Wardle zei op 22 september 2026 dat Meta een zero‑day‑kwetsbaarheid in Muse, zijn nieuw gelanceerde persoonlijke AI‑agent, met een spoedpatch had verholpen, na zijn openbare bekendmaking op 21 september 2026 dat een niet‑geprivilegieerd lokaal proces het dicteer‑verkeer van de Mac‑app kon omleiden naar een door de aanvaller gecontroleerd eindpunt en de agent onzichtbaar kon kapen.

Openbare openbaarmaking en patchbevestiging

Wardle publiceerde zijn bevindingen in een X-thread die begon om 14:42 UTC op 21 september 2026, waarin hij gebruikers waarschuwde Muse niet te installeren en schreef dat ernstige zero‑day‑fouten lokale malware of aanvallers in staat konden stellen de agent onzichtbaar te kapen. Hij koppelde de thread aan een proof‑of‑concept‑repository op GitHub met de titel “not-a-mused”; de commitgeschiedenis van de repository toont drie commits — het toevoegen van de projecttitel en beschrijving, het aanmaken van het script notamused.py en het bijwerken van de README — allemaal gedateerd op 21 september 2026.

In een bericht op zijn X-profiel met tijdstempel 06:36 UTC op 22 september 2026, schreef Wardle “Hoera, met een spoedpatch verholpen!” en prees de snelheid van de patch. In een later bericht die dag schreef hij dat hij een fan is van volledige openbaarmaking, omdat dat bugs sneller laat repareren. In zijn openbaarmakings‑thread had hij gezegd dat hij meer details en meer bugs zou delen op de Objective by the Sea v9 security conference.

De dicteer‑eindpunt‑fout

Volgens de documentatie van de proof‑of‑concept onthult Muse een ongedocumenteerde instelling genaamd endo_voyager_dictation_endpoint die een lokale aanvaller of malware kan wijzigen zonder speciale privileges. Wanneer een gebruiker op Muse’s microfoonknop klikt en een prompt dicteert, stelt Wardle’s thread dat de app de dictatie naar het eindpunt van de aanvaller stuurt. De README somt de mogelijke gevolgen op: het vastleggen van gedicteerde audio en prompts, promptinjectie in Muse, diefstal van Muse‑authenticatiemateriaal, en misbruik van elke toegang die de gebruiker aan de agent heeft verleend. De documentatie van de repository vat de impact samen in één regel: “Muse’s access can potentially become the attacker’s access.”

De proof‑of‑concept implementeert een subset van de meer dan 50 commando’s die Muse exposeert en wordt geactiveerd via de dicteer‑stroom van de microfoonknop, volgens de README. De README merkt op dat de aanval lokaal is: een aanvaller moet al in staat zijn code uit te voeren als de lokale gebruiker. Het schetst het risico als een amplificatie‑scenario, waarbij wordt gesteld dat Muse mogelijk aanzienlijk bredere toegang heeft dan gewone lokale malware, waardoor het een bijzonder aantrekkelijk doelwit is voor privilege‑ en toegangs‑amplificatie.

In zijn thread somde Wardle de praktische impact op van een succesvolle kaping: het stelen van de gedicteerde audio van een gebruiker, het injecteren van prompts die Muse vertrouwt en uitvoert, en het stelen van het authenticatietoken van de gebruiker om Muse direct en onzichtbaar te besturen. Alles waartoe de gebruiker Muse toegang had verleend, inclusief berichten, e‑mail en financiën, zou eveneens aan de lokale aanvaller worden blootgesteld, schreef hij. In een afzonderlijk bericht op 21 september noemde hij de fout triviaal om te exploiteren en vroeg om een oplossing.

Verbonden apparaten en een externe vector

De blootstelling die Wardle beschreef strekt zich uit voorbij één enkele Mac. In een bericht om 20:30 UTC op 21 september 2026 schreef hij dat zodra een Mac is gecompromitteerd, een aanvaller kan communiceren met elk van de verbonden apparaten van de gebruiker die ook Muse draaien, inclusief het op afstand onzichtbaar aansturen van de mobiele iOS Muse‑client.

Wardle schreef op 22 september 2026 dat er ook een externe vector bestond: een ClickFix‑achtige aanval die slechts één door de gebruiker uitgevoerde opdracht vereist, kon de kaping uitvoeren en een externe aanvaller controle binnen de toegangssfeer van Muse geven over alle Muse‑ingeschakelde apparaten van een slachtoffer, inclusief iOS. Hij bracht dit punt zowel naar voren in het bericht dat de patch bevestigde als in een vervolgreactie in zijn openbaarmakings‑thread.

Meta’s gedocumenteerde beveiligingsontwerp

Meta lanceerde Muse op 8 september 2026, en introduceerde het als de persoonlijke agent van het bedrijf in een onderzoeksblogpost die de beveiligingsarchitectuur van het systeem beschrijft. Meta zei dat het systeem zo is ontworpen dat ervan wordt uitgegaan dat de agent onder aanval kan staan en om de potentiële schade te beperken. Volgens dat ontwerp draaien de daemon van de agent en de tools die hij uitvoert binnen een systemd‑nspawn‑runtime‑cel die geïsoleerd is van het hostsysteem, en een aparte host‑side agent genaamd Sentinel fungeert als de enige permissie‑autoriteit voor connector‑acties en al het uitgaand netwerkverkeer. Inloggegevens voor verbonden services worden opgeslagen in de virtuele machine van de gebruiker, en Sentinel voert just‑in‑time‑invoeging van inloggegevens uit bij de netwerkgrens, zodat de agent nooit echte tokens ziet, volgens het bericht.

In hetzelfde bericht zei Meta dat het Muse‑bug‑bounty‑programma voor iedereen openstelt, met beloningen tot $300.000 voor geldige meldingen, inclusief tot $130.000 voor geslaagde prompt‑injectie‑pogingen die één gebruiker treffen.

Meta’s Help Center documenteert extra beveiligingen: de virtuele machine van elke Muse‑gebruiker is geïsoleerd van de agents van andere gebruikers, inloggegevens zoals gebruikersnamen en wachtwoorden worden bewaard in een Secure Credentials Store die Muse in staat stelt geautoriseerde handelingen uit te voeren zonder dat het AI‑model het wachtwoord ziet, en Muse is zo ontworpen dat het om bevestiging vraagt vóór bepaalde belangrijke acties, zoals het verzenden van een e‑mail of het doen van een aankoop. Het Help Center stelt dat belangrijke permissie‑ en beveiligingscontroles los van het AI‑model functioneren, zodat ze niet afhankelijk zijn van het model om zelfstandig een kwaadaardige instructie te herkennen.

Meta’s onderzoeksbericht stelt dat Muse niet immuun is voor aanvallen en dat prompt‑injectie een open probleem blijft in de hele sector. Het bedrijf zei dat het van plan is later dit jaar een Muse Confidential VM te leveren, ontworpen om cryptografisch en verifieerbaar te voorkomen dat Meta zelf toegang krijgt tot gegevens in de VM van een gebruiker.