Meta wprowadza szybkie poprawki do luki zero‑day w Muse, która pozwala atakującym przejąć agenta AI

Badacz bezpieczeństwa Patrick Wardle powiedział 22 września 2026, że Meta wprowadziła szybką poprawkę do luki zero‑day w Muse, jej nowo uruchomionym osobistym agencie AI, po jego publicznym ujawnieniu 21 września 2026, że nieuprzywilejowany lokalny proces może przekierować ruch dyktowania aplikacji na Macu do kontrolowanego przez atakującego punktu końcowego i niewidocznie przejąć agenta.

Publiczne ujawnienie i potwierdzenie poprawki

Wardle opublikował swoje ustalenia w wątku na X, który rozpoczął się o 14:42 UTC 21 września 2026, ostrzegając użytkowników, aby nie instalowali Muse i pisząc, że poważne luki zero‑day mogą pozwolić lokalnemu złośliwemu oprogramowaniu lub atakującym niewidocznie przejąć agenta. Połączył wątek z repozytorium proof‑of‑concept na GitHubie o nazwie „not-a-mused”; historia commitów repozytorium pokazuje trzy commity — dodanie tytułu i opisu projektu, utworzenie skryptu notamused.py oraz aktualizację pliku README — wszystkie datowane na 21 września 2026.

W poście na jego profilu X oznaczonym 06:36 UTC 22 września 2026, Wardle napisał „Hurra, poprawka wprowadzona!” i pochwalił szybkość aktualizacji. W późniejszym poście tego samego dnia napisał, że jest zwolennikiem pełnego ujawniania, twierdząc, że przyspiesza to naprawę błędów. W swoim wątku ujawniającym zaznaczył, że podzieli się dodatkowymi szczegółami i kolejnymi błędami na konferencji bezpieczeństwa Objective by the Sea v9.

Luka punktu końcowego dyktowania

Zgodnie z dokumentacją proof‑of‑concept, Muse udostępnia nieudokumentowane ustawienie o nazwie endo_voyager_dictation_endpoint że lokalny atakujący lub złośliwe oprogramowanie może zmodyfikować bez specjalnych uprawnień. Gdy użytkownik kliknie przycisk mikrofonu w Muse i dyktuje polecenie, wątek Wardle’a stwierdza, że aplikacja wysyła dyktat do punktu końcowego kontrolowanego przez atakującego. README wymienia potencjalne konsekwencje: przechwycenie nagranego audio i poleceń, wstrzyknięcie poleceń do Muse, kradzież materiałów uwierzytelniających Muse oraz nadużycie wszelkich dostępów, które użytkownik przyznał agentowi. dokumentacja repozytorium podsumowuje wpływ w jednym zdaniu: „Dostęp Muse może potencjalnie stać się dostępem atakującego.”

Proof‑of‑concept implementuje podzbiór ponad 50 poleceń, które udostępnia Muse, i jest wyzwalany poprzez przepływ dyktowania po naciśnięciu przycisku mikrofonu, zgodnie z README. README zauważa, że atak jest lokalny: atakujący musi już mieć możliwość wykonywania kodu jako lokalny użytkownik. Ryzyko przedstawiane jest jako ryzyko amplifikacji, stwierdzając, że Muse może mieć znacznie szerszy dostęp niż zwykłe lokalne złośliwe oprogramowanie, co czyni go szczególnie przydatnym celem dla amplifikacji uprawnień i dostępu.

W swoim wątku Wardle wymienił praktyczne konsekwencje udanego przejęcia: kradzież nagranego audio użytkownika, wstrzyknięcie poleceń, którym Muse ufa i które wykonuje, oraz przejęcie tokenu uwierzytelniającego użytkownika w celu bezpośredniego i niewidocznego sterowania Muse. Wszystko, do czego użytkownik przyznał Muse dostęp, w tym wiadomości, e‑maile i finanse, również byłoby narażone na atak lokalnego agresora, napisał. W oddzielnym poście z 21 września określił tę lukę jako trywialną do wykorzystania i poprosił o poprawkę.

Połączone urządzenia i wektor zdalny

Opisane przez Wardle’a zagrożenie wykracza poza pojedynczego Maca. W poście o 20:30 UTC 21 września 2026 napisał, że po wykorzystaniu Maca atakujący może wchodzić w interakcję z dowolnym podłączonym urządzeniem użytkownika, które również uruchamia Muse, w tym zdalnie i niewidocznie zlecać zadania mobilnemu klientowi iOS Muse.

Wardle napisał 22 września 2026, że istnieje również wektor zdalny: atak w stylu ClickFix, wymagający jedynie jednego polecenia uruchomionego przez użytkownika, mógłby przeprowadzić przejęcie i dać zdalnemu atakującemu kontrolę na poziomie Muse nad wszystkimi urządzeniami ofiary wyposażonymi w Muse, w tym iOS. Poruszył ten temat zarówno w poście potwierdzającym poprawkę, jak i w odpowiedzi w swoim wątku ujawniającym.

Udokumentowany projekt bezpieczeństwa Meta

Meta uruchomiło Muse 8 września 2026, przedstawiając go jako osobistego agenta firmy w poście na blogu badawczym opisującym architekturę bezpieczeństwa systemu. Meta oświadczyło, że zaprojektowało system tak, aby zakładał, że agent może być pod atakiem i aby ograniczyć potencjalne szkody. Zgodnie z tym projektem, demon agenta i narzędzia, które wykonuje, działają wewnątrz komórki runtime systemd‑nspawn odizolowanej od systemu gospodarza, a oddzielny agent po stronie hosta o nazwie Sentinel pełni rolę jedynego autorytetu uprawnień dla działań łączników i całego ruchu sieciowego wychodzącego. Poświadczenia dla połączonych usług są przechowywane w wirtualnej maszynie użytkownika, a Sentinel dokonuje wstawiania poświadczeń w czasie rzeczywistym na granicy sieci, dzięki czemu agent nigdy nie widzi prawdziwych tokenów, jak podano w poście.

W tym samym poście Meta poinformowało, że otwiera program bug bounty dla Muse dla każdego, oferując nagrody do 300 000 USD za ważne zgłoszenia, w tym do 130 000 USD za udane próby wstrzyknięcia poleceń, które dotyczą jednego użytkownika.

Centrum Pomocy Meta opisuje dodatkowe zabezpieczenia: wirtualna maszyna każdego użytkownika Muse jest odizolowana od agentów innych użytkowników, poświadczenia takie jak nazwy użytkowników i hasła są przechowywane w Bezpiecznym Magazynie Poświadczeń, co pozwala Muse wykonać autoryzowane działania bez tego, aby model SI widział hasło, a Muse jest zaprojektowany tak, aby przed niektórymi ważnymi działaniami, takimi jak wysłanie e‑maila lub dokonanie zakupu, żądał potwierdzenia. Centrum Pomocy stwierdza, że istotne kontrole uprawnień i bezpieczeństwa działają niezależnie od modelu SI, więc nie zależą od tego, czy model samodzielnie rozpozna złośliwą instrukcję.

Post badawczy Meta stwierdza, że Muse nie jest odporny na ataki i że wstrzykiwanie podpowiedzi pozostaje otwartym problemem w całej branży. Firma zapowiedziała, że planuje dostarczyć Muse Confidential VM, zaprojektowaną tak, aby kryptograficznie i w sposób weryfikowalny uniemożliwić samemu Meta dostęp do danych w wirtualnej maszynie użytkownika, jeszcze w tym roku.