Meta быстро устранила уязвимость нулевого дня в Muse, позволяющую злоумышленникам захватить AI‑агента.

Исследователь в области безопасности Патрик Уордл сообщил 22 сентября 2026 г., что Meta быстро исправила уязвимость нулевого дня в Muse, её недавно запущенном персональном AI‑агенте, после его публичного раскрытия 21 сентября 2026 г., в котором он указал, что непривилегированный локальный процесс может перенаправлять трафик диктовки приложения для Mac на контролируемый злоумышленником конечный пункт и незаметно захватывать агента.

Публичное раскрытие и подтверждение исправления

Уордл опубликовал свои выводы в в ветке X, начавшейся в 14:42 UTC 21 сентября 2026 г., предупреждая пользователей не устанавливать Muse и отмечая, что серьёзные уязвимости нулевого дня могут позволить локальному вредоносному ПО или злоумышленникам незаметно захватить агента. Он сопроводил ветку репозиторием доказательства концепции на GitHub под названием «not-a-mused»; историю коммитов репозитория показывает три коммита — добавление названия и описания проекта, создание скрипта notamused.py и обновление README — все датированы 21 сентября 2026 г.

В в сообщении в его профиле X, отмеченном 06:36 UTC 22 сентября 2026 г., Уордл написал «Ура, исправлено!», похвалив скорость патча. В более позднем сообщении того же дня он отметил, что является сторонником полного раскрытия, говоря, что это ускоряет исправление багов. В своей ветке раскрытия он сказал, что поделится дополнительными деталями и другими уязвимостями на конференции по безопасности Objective by the Sea v9.

Уязвимость конечной точки диктовки

Согласно документации доказательства концепции, Muse раскрывает недокументированную настройку под названием endo_voyager_dictation_endpoint которую локальный злоумышленник или вредонос может изменить без специальных привилегий. Когда пользователь нажимает кнопку микрофона в Muse и диктует запрос, по словам Уордла в ветке, приложение отправляет диктовку на конечный пункт злоумышленника. В README перечислены потенциальные последствия: захват диктованного аудио и запросов, внедрение запросов в Muse, кража аутентификационных данных Muse и злоупотребление любым доступом, предоставленным пользователем агенту. документацию репозитория суммирует влияние в одной строке: «Доступ Muse может потенциально стать доступом злоумышленника».

Доказательство концепции реализует подмножество из более чем 50 команд, которые предоставляет Muse, и активируется через поток диктовки при нажатии кнопки микрофона, согласно README. В README отмечается, что атака локальная: злоумышленник уже должен иметь возможность выполнять код от имени локального пользователя. Это рассматривается как риск усиления, поскольку Muse может иметь значительно более широкий доступ, чем обычное локальное вредоносное ПО, что делает его особенно ценным объектом для повышения привилегий и доступа.

В своей ветке Уордл перечислил практические последствия успешного захвата: кражу диктованного пользователем аудио, внедрение запросов, которым Muse доверяет и которые он исполняет, а также кражу токена аутентификации пользователя для прямого и незаметного управления Muse. Всё, что пользователь предоставил Muse, включая сообщения, электронную почту и финансовую информацию, также будет доступно локальному злоумышленнику, — написал он. В отдельном сообщении от 21 сентября он назвал уязвимость тривиальной для эксплуатации и потребовал исправления.

Подключённые устройства и удалённый вектор

Описанное Уордлом воздействие распространяется за пределы одного Mac. В сообщении в 20:30 UTC 21 сентября 2026 г. он написал, что после компрометации Mac злоумышленник может взаимодействовать с любыми подключёнными устройствами пользователя, на которых также запущен Muse, включая удалённое незаметное управление мобильным клиентом Muse для iOS.

Уордл написал 22 сентября 2026 г., что также существует удалённый вектор: атака в стиле ClickFix, требующая лишь одну команду, запущенную пользователем, может осуществить захват и предоставить удалённому злоумышленнику контроль над всеми устройствами жертвы, поддерживающими Muse, включая iOS. Он поднял этот вопрос как в сообщении, подтверждающем исправление, так и в последующем ответе в своей ветке раскрытия.

Документированный подход к безопасности от Meta

Meta запустила Muse 8 сентября 2026 г., представив его как персонального агента компании в в исследовательском блоге, где подробно описана архитектура безопасности системы. Meta заявила, что система спроектирована с учётом возможного нападения на агента и с целью ограничения потенциального ущерба. В соответствии с этим дизайном демон агента и инструменты, которые он запускает, работают внутри изолированной среды systemd-nspawn, отделённой от хост‑системы, а отдельный хост‑агент под названием Sentinel выступает единственным органом разрешения для действий коннекторов и всего сетевого исходящего трафика. Учётные данные для подключённых сервисов хранятся в виртуальной машине пользователя, и Sentinel выполняет вставку учётных данных «just‑in‑time» на сетевом границе, так что агент никогда не видит реальные токены, согласно посту.

В том же посте Meta сообщила, что открывает программу вознаграждений за уязвимости Muse для всех, предлагая вознаграждения до 300 000 $ за достоверные сообщения, включая до 130 000 $ за успешные попытки внедрения запросов, затрагивающие одного пользователя.

Meta’s Help Center описывает дополнительные меры защиты: виртуальная машина каждого пользователя Muse изолирована от агентов других пользователей, учётные данные, такие как имена пользователей и пароли, хранятся в Secure Credentials Store, что позволяет Muse выполнять авторизованные действия, не показывая пароль модели ИИ, и Muse настроен запрашивать подтверждение перед некоторыми важными действиями, например отправкой электронного письма или совершением покупки. Центр помощи заявляет, что важные проверки разрешений и безопасности работают независимо от модели ИИ, поэтому они не зависят от того, сможет ли модель самостоятельно распознать вредоносную инструкцию.

В исследовательском посте Meta говорится, что Muse не защищён от атак и что внедрение подсказок остаётся открытой проблемой во всей отрасли. Компания заявила, что планирует выпустить Muse Confidential VM, разработанную для криптографической и проверяемой блокировки доступа Meta к данным в виртуальной машине пользователя, позже в этом году.