Meta remediază zero-day-ul Muse care permite atacatorilor să preia agentul AI

Cercetătorul în securitate Patrick Wardle a declarat pe 22 septembrie 2026 că Meta a aplicat un hot‑fix pentru o vulnerabilitate zero‑day în Muse, agentul său AI personal recent lansat, în urma dezvăluirii publice din 21 septembrie 2026, în care a afirmat că un proces local neprivilegiat ar putea redirecționa traficul de dictare al aplicației Mac către un punct final controlat de atacator și să preia agentul în mod invizibil.

Dezvăluire publică și confirmarea patch‑ului

Wardle a publicat constatări sale într-un fir pe X care a început la 14:42 UTC pe 21 septembrie 2026, avertizând utilizatorii să nu instaleze Muse și scriind că defecte serioase de tip zero‑day ar putea permite malware‑ului local sau atacatorilor să preia agentul în mod invizibil. A asociat firul cu un depozit proof‑of‑concept pe GitHub intitulat „not-a-mused”; istoricul de commituri al depozitului arată cele trei commituri — adăugarea titlului și descrierii proiectului, crearea scriptului notamused.py și actualizarea README‑ului — toate datate pe 21 septembrie 2026.

În o postare pe profilul său X cu timestamp 06:36 UTC pe 22 septembrie 2026, Wardle a scris “Ura, hot‑fixat!” și a lăudat rapiditatea patch‑ului. Într‑o postare ulterioară în aceeași zi, a scris că este fan al dezvăluirii complete, spunând că aceasta face ca bug‑urile să fie remediate mai repede. În firul său de dezvăluire, el a spus că va împărtăși mai multe detalii și mai multe bug‑uri la conferința de securitate Objective by the Sea v9.

Defectul endpoint‑ului de dictare

Conform documentației proof‑of‑conceptului, Muse expune o setare nedeclarată numită endo_voyager_dictation_endpoint pe care un atacator local sau malware îl poate modifica fără privilegii speciale. Când un utilizator face clic pe butonul microfon al Muse și dictează un prompt, firul lui Wardle afirmă că aplicația trimite dictarea către endpoint‑ul atacatorului în schimb. README‑ul enumeră consecințele potențiale: capturarea audio‑ului dictat și a prompturilor, injectarea de prompturi în Muse, furtul materialelor de autentificare ale Muse și abuzul de orice acces pe care utilizatorul l‑a acordat agentului. documentația depozitului rezumă impactul într‑o singură frază: “Accesul Muse ar putea deveni, în esență, accesul atacatorului.”

Proof‑of‑conceptul implementează un subset din cele peste 50 de comenzi pe care Muse le expune și este declanșat prin fluxul de dictare al butonului microfon, conform README‑ului. README‑ul notează că atacul este local: un atacator trebuie deja să poată executa cod ca utilizator local. Riscul este prezentat ca un fenomen de amplificare, afirmând că Muse ar putea avea un acces semnificativ mai larg decât malware‑ul local obișnuit, ceea ce îl face o țintă deosebit de utilă pentru amplificarea privilegiilor și a accesului.

În firul său, Wardle a enumerat impactul practic al unei preluări reușite: furtul audio‑ului dictat al utilizatorului, injectarea de prompturi în care Muse are încredere și le execută, și furtul token‑ului de autentificare al utilizatorului pentru a controla Muse direct și invizibil. Orice acces pe care utilizatorul l‑a acordat lui Muse, inclusiv mesaje, e‑mailuri și informații financiare, ar fi, de asemenea, expus atacatorului local, a scris el. Într‑o postare separată din 21 septembrie, a descris defectul ca fiind trivial de exploatat și a cerut o remediere.

Dispozitive conectate și un vector la distanță

Expunerea descrisă de Wardle se extinde dincolo de un singur Mac. Într‑o postare la 20:30 UTC pe 21 septembrie 2026, a scris că odată ce un Mac este exploatat, un atacator poate interacționa cu oricare dintre dispozitivele conectate ale utilizatorului care rulează și ele Muse, inclusiv să comande de la distanță clientul mobil iOS Muse în mod invizibil.

Wardle a scris pe 22 septembrie 2026 că a existat și un vector remote: un atac de tip ClickFix care necesită doar o singură comandă rulată de utilizator ar putea livra preluarea și oferi unui atacator de la distanță control la nivel de Muse asupra tuturor dispozitivelor activate cu Muse ale victimei, inclusiv iOS. A adus în discuție acest punct atât în postarea care confirma patch‑ul, cât și într‑un răspuns ulterior în firul său de dezvăluire.

Designul de securitate documentat de Meta

Meta a lansat Muse pe 8 septembrie 2026, prezentându-l ca agentul personal al companiei într‑o postare de blog de cercetare care detaliază arhitectura de securitate a sistemului. Meta a declarat că a proiectat sistemul presupunând că agentul poate fi sub atac și pentru a limita daunele potențiale. Conform acestui design, daemon‑ul agentului și instrumentele pe care le execută rulează într‑o celulă runtime systemd‑nspawn izolată de sistemul gazdă, iar un agent separat pe partea gazdă, numit Sentinel, acționează ca singura autoritate de permisiune pentru acțiunile conectorului și pentru tot traficul de ieșire al rețelei. Creditele pentru serviciile conectate sunt stocate în mașina virtuală a utilizatorului, iar Sentinel efectuează inserarea de credențiale just‑in‑time la limita rețelei, astfel încât agentul nu vede niciodată token‑urile reale, conform postării.

În aceeași postare, Meta a declarat că deschide programul de recompense pentru bug‑uri Muse către oricine, cu premii de până la 300.000 $ pentru rapoarte valide, inclusiv până la 130.000 $ pentru încercări reușite de injectare de prompt care afectează un singur utilizator.

Meta’s Help Center documentează protecții suplimentare: fiecare mașină virtuală a utilizatorului Muse este izolată de agenții altor utilizatori, acreditările precum numele de utilizator și parolele sunt păstrate într-un Secure Credentials Store care permite lui Muse să finalizeze acțiuni autorizate fără ca modelul AI să vadă parola, iar Muse este conceput să solicite confirmare înainte de anumite acțiuni importante, cum ar fi trimiterea unui e‑mail sau efectuarea unei achiziții. Centrul de ajutor afirmă că verificările importante de permisiune și securitate funcționează separat de modelul AI, astfel încât nu depind de recunoașterea, de către model, a unei instrucțiuni malițioase în mod autonom.

Postarea de cercetare a Meta afirmă că Muse nu este imun la atac și că injecția de prompt rămâne o problemă deschisă în întreaga industrie. Compania a declarat că intenționează să livreze un Muse Confidential VM, conceput să prevină criptografic și verificabil accesul Meta la datele din VM-ul unui utilizator, mai târziu în acest an.