Meta corrige vulnerabilidade zero‑day do Muse que permitia que invasores sequestrassem o agente de IA

O pesquisador de segurança Patrick Wardle afirmou em 22 de setembro de 2026 que a Meta havia corrigido rapidamente uma vulnerabilidade zero‑day no Muse, seu agente de IA pessoal recém‑lançado, após sua divulgação pública em 21 de setembro de 2026, na qual um processo local sem privilégios poderia redirecionar o tráfego de ditado do aplicativo para Mac a um endpoint controlado por um invasor e sequestrar o agente de forma invisível.

Divulgação Pública e Confirmação do Patch

Wardle publicou suas descobertas em um thread do X que começou às 14:42 UTC em 21 de setembro de 2026, alertando os usuários a não instalarem o Muse e escrevendo que falhas zero‑day graves poderiam permitir que malware local ou invasores sequestrassem o agente de forma invisível. Ele acompanhou o thread com um repositório de prova de conceito no GitHub intitulado “not-a-mused”; o histórico de commits do repositório mostra seus três commits — adicionando o título e a descrição do projeto, criando o script notamused.py e atualizando o README — todos datados de 21 de setembro de 2026.

Em uma publicação em seu perfil do X com horário 06:36 UTC em 22 de setembro de 2026, Wardle escreveu “Viva, correção rápida!” e elogiou a velocidade do patch. Em uma publicação posterior naquele dia, ele escreveu que é fã da divulgação completa, dizendo que isso faz os bugs serem corrigidos mais rapidamente. Em seu thread de divulgação, ele havia dito que compartilharia mais detalhes e mais bugs na conferência de segurança Objective by the Sea v9.

A Falha no Endpoint de Ditado

De acordo com a documentação da prova de conceito, o Muse expõe uma configuração não documentada chamada endo_voyager_dictation_endpoint que um atacante local ou malware pode modificar sem privilégios especiais. Quando um usuário clica no botão de microfone do Muse e dita um prompt, o thread de Wardle afirma que o aplicativo envia a ditado para o endpoint do atacante. O README lista as possíveis consequências: captura do áudio e dos prompts ditados, injeção de prompts no Muse, roubo de material de autenticação do Muse e abuso de qualquer acesso que o usuário tenha concedido ao agente. A documentação do repositório resume o impacto em uma linha: “O acesso do Muse pode potencialmente se tornar o acesso do atacante.”

A prova de conceito implementa um subconjunto dos mais de 50 comandos que o Muse expõe e é acionada através do fluxo de ditado do botão de microfone, segundo o README. O README observa que o ataque é local: o atacante já deve ser capaz de executar código como usuário local. Ele enquadra o risco como um de amplificação, afirmando que o Muse pode ter acesso significativamente mais amplo que malware local comum, o que o torna um alvo particularmente útil para amplificação de privilégios e acesso.

Em seu thread, Wardle enumerou o impacto prático de um sequestro bem‑sucedido: roubo do áudio ditado pelo usuário, injeção de prompts que o Muse confia e executa, e roubo do token de autenticação do usuário para controlar o Muse de forma direta e invisível. Qualquer coisa que o usuário tenha concedido ao Muse, incluindo mensagens, e‑mails e finanças, também seria exposta ao atacante local, escreveu ele. Em uma publicação separada em 21 de setembro, ele qualificou a falha como trivial de explorar e pediu uma correção.

Dispositivos Conectados e um Vetor Remoto

A vulnerabilidade descrita por Wardle se estende além de um único Mac. Em uma publicação às 20:30 UTC em 21 de setembro de 2026, ele escreveu que, uma vez que um Mac seja explorado, um atacante pode interagir com quaisquer dispositivos conectados do usuário que também estejam executando o Muse, inclusive comandando remotamente o cliente móvel do Muse para iOS de forma invisível.

Wardle escreveu em 22 de setembro de 2026 que também existia um vetor remoto: um ataque no estilo ClickFix que requer apenas um único comando executado pelo usuário poderia efetuar o sequestro e conceder a um atacante remoto controle sobre todos os dispositivos do usuário habilitados para o Muse, incluindo iOS. Ele destacou esse ponto tanto na publicação que confirmava o patch quanto em uma resposta subsequente em seu thread de divulgação.

Design de Segurança Documentado da Meta

A Meta lançou Muse em 8 de setembro de 2026, apresentando‑o como o agente pessoal da empresa em uma postagem de blog de pesquisa que detalha a arquitetura de segurança do sistema. A Meta afirmou que projetou o sistema assumindo que o agente pode estar sob ataque e para limitar os danos potenciais. Sob esse design, o daemon do agente e as ferramentas que ele executa rodam dentro de uma célula de runtime systemd‑nspawn isolada do sistema host, e um agente separado no host chamado Sentinel atua como a única autoridade de permissão para ações de conectores e para todo tráfego de saída de rede. Credenciais para serviços conectados são armazenadas na máquina virtual do usuário, e o Sentinel realiza inserção de credenciais just‑in‑time na fronteira da rede, de modo que o agente nunca vê os tokens reais, segundo a postagem.

Na mesma postagem, a Meta informou que estava abrindo o programa de bug bounty do Muse para qualquer pessoa, com recompensas de até US$ 300.000 por relatórios válidos, incluindo até US$ 130.000 por tentativas bem‑sucedidas de injeção de prompts que afetem um usuário.

Centro de Ajuda da Meta documenta proteções adicionais: a máquina virtual de cada usuário do Muse é isolada dos agentes de outros usuários, credenciais como nomes de usuário e senhas são mantidas em um Armazenamento Seguro de Credenciais que permite ao Muse concluir ações autorizadas sem que o modelo de IA veja a senha, e o Muse foi projetado para solicitar confirmação antes de certas ações importantes, como enviar um e‑mail ou fazer uma compra. O Centro de Ajuda afirma que verificações importantes de permissão e segurança operam separadamente do modelo de IA, de modo que não dependem do modelo reconhecer uma instrução maliciosa por conta própria.

O post de pesquisa da Meta afirma que o Muse não é imune a ataques e que a injeção de prompts continua sendo um problema aberto em todo o setor. A empresa disse que planeja disponibilizar uma Muse Confidential VM, projetada para impedir criptograficamente e de forma verificável que a própria Meta acesse dados na VM de um usuário, ainda este ano.