Meta gjør hurtigfikser på Muse null-dag som lar angripere kapre AI‑agenten

Sikkerhetsforsker Patrick Wardle sa 22. september 2026 at Meta hadde gjort en hurtigfiks på en null-dag-sårbarhet i Muse, deres ny lanserte personlige AI‑agent, etter hans offentlige avsløring 21. september 2026 om at en ikke‑privilegert lokal prosess kunne omdirigere dikterings‑trafikken i Mac‑appen til et angriper‑kontrollert endepunkt og usynlig kapre agenten.

Offentlig avsløring og bekreftelse av oppdatering

Wardle publiserte sine funn i en X-tråd som startet kl. 14:42 UTC 21. september 2026, og advarte brukere om å ikke installere Muse samt skrev at alvorlige null-dag-feil kunne la lokal skadelig programvare eller angripere usynlig kapre agenten. Han koblet tråden til et proof‑of‑concept‑depot på GitHub med tittelen “not-a-mused”; depotets commit-historikk viser de tre commit‑ene — legge til prosjekt‑tittelen og beskrivelsen, opprette notamused.py‑skriptet og oppdatere README — alle datert 21. september 2026.

I et innlegg på X-profilen hans med tidsstempel 06:36 UTC 22. september 2026, skrev Wardle “Hurra, hurtigfikset!” og roste farten på oppdateringen. I et senere innlegg samme dag skrev han at han er en forkjemper for full åpenhet, og sier at det får feil fikset raskere. I sin avslørings‑tråd hadde han sagt at han ville dele flere detaljer, og flere feil, på sikkerhetskonferansen Objective by the Sea v9.

Dikterings‑endepunkt‑feilen

Ifølge dokumentasjonen for proof‑of‑concept‑en, eksponerer Muse en udokumentert innstilling kalt endo_voyager_dictation_endpoint som en lokal angriper eller skadelig programvare kan endre uten spesielle privilegier. Når en bruker klikker på Muse‑mikrofonknappen og dikterer en prompt, sier Wardles tråd at appen sender dikteringen til angriperens endepunkt i stedet. README‑filen lister opp de potensielle konsekvensene: opptak av diktert lyd og prompts, prompt‑injeksjon i Muse, tyveri av Muse‑autentiseringsmateriale, og misbruk av all tilgang brukeren har gitt agenten. depotdokumentasjonen oppsummerer virkningen i én setning: “Muse‑tilgang kan potensielt bli angriperens tilgang.”

Proof‑of‑concept‑en implementerer et delsett av de mer enn 50 kommandoene Muse eksponerer, og aktiveres gjennom mikrofon‑knapp‑dikteringsflyten, ifølge README. README‑filen bemerker at angrepet er lokalt: en angriper må allerede kunne kjøre kode som den lokale brukeren. Den beskriver risikoen som en forsterkning, og påstår at Muse kan ha betydelig bredere tilgang enn vanlig lokal skadelig programvare, noe som gjør den til et spesielt attraktivt mål for privilegiums‑ og tilgangsforsterkning.

I sin tråd listet Wardle den praktiske virkningen av en vellykket kapring: stjeling av en brukers dikterte lyd, injeksjon av prompts som Muse stoler på og utfører, samt tyveri av brukerens autentiseringstoken for å kontrollere Muse direkte og usynlig. Alt brukeren hadde gitt Muse tilgang til, inkludert meldinger, e‑post og økonomi, ville også bli eksponert for den lokale angriperen, skrev han. I et eget innlegg 21. september kalte han feilen trivielt utnyttbar og ba om en oppdatering.

Tilkoblede enheter og en fjern vektor

Eksponeringen Wardle beskrev strekker seg utover en enkelt Mac. I et innlegg kl. 20:30 UTC 21. september 2026 skrev han at når en Mac er utnyttet, kan en angriper samhandle med alle brukerens tilkoblede enheter som også kjører Muse, inkludert å fjernstyre den mobile iOS Muse‑klienten usynlig.

Wardle skrev 22. september 2026 at en fjern vektor også fantes: et ClickFix‑lignende angrep som kun krever en enkelt bruker‑kjørt kommando, kunne levere kapringen og gi en fjern angriper Muse‑omfattende kontroll over alle offerets Muse‑aktiverte enheter, inkludert iOS. Han tok opp dette både i innlegget som bekreftet oppdateringen og i et oppfølgingssvar i sin avslørings‑tråd.

Metas dokumenterte sikkerhetsdesign

Meta lanserte Muse 8. september 2026, og introduserte den som selskapets personlige agent i et forskningsblogginnlegg som beskriver systemets sikkerhetsarkitektur. Meta sa at de designet systemet med antakelsen om at agenten kan være under angrep, og for å begrense potensiell skade. I henhold til dette designet kjører agentens daemon og verktøyene den utfører innenfor en systemd‑nspawn‑kjørecell isolert fra verts‑systemet, og en separat verts‑side‑agent kalt Sentinel fungerer som den eneste tillatelsesmyndigheten for koblings‑handlinger og all nettverksutgang. Påloggingsinformasjon for tilkoblede tjenester lagres i brukerens virtuelle maskin, og Sentinel utfører just‑in‑time innsetting av påloggingsinformasjon ved nettverksgrensen, slik at agenten aldri ser de faktiske token‑ene, ifølge innlegget.

I samme innlegg sa Meta at de åpnet Muse‑bug‑bounty‑programmet for alle, med premier på opptil $300 000 for gyldige rapporter, inkludert opptil $130 000 for vellykkede prompt‑injeksjonsforsøk som påvirker én bruker.

Meta’s Help Center dokumenterer ytterligere beskyttelser: hver Muse‑brukers virtuelle maskin er isolert fra andre brukeres agenter, legitimasjon som brukernavn og passord lagres i en Secure Credentials Store som gjør at Muse kan utføre autoriserte handlinger uten at AI‑modellen ser passordet, og Muse er designet for å be om bekreftelse før visse viktige handlinger, som å sende en e‑post eller foreta et kjøp. Help Centeret sier at viktige tillatelses‑ og sikkerhetssjekker opererer separat fra AI‑modellen, slik at de ikke er avhengige av at modellen selv gjenkjenner en ondsinnet instruksjon på egen hånd.

Meta sin forskningspost sier at Muse ikke er immun mot angrep, og at prompt‑injeksjon fortsatt er et åpent problem i hele bransjen. Selskapet uttalte at de planlegger å levere en Muse Confidential VM, designet for kryptografisk og verifiserbart å hindre Meta selv i å få tilgang til data i en brukers VM, senere i år.