Meta åtgärdar snabbt Muse:s noll‑dagssårbarhet som låter angripare kapa AI‑agenten

Säkerhetsforskaren Patrick Wardle sade den 22 september 2026 att Meta hade snabbt åtgärdat en noll‑dagssårbarhet i Muse, deras nylanserade personliga AI‑agent, efter hans offentliga avslöjande den 21 september 2026 att en oprivilegierad lokal process kunde omdirigera Mac‑appens dikteringstrafik till en angriparkontrollerad slutpunkt och osynligt kapa agenten.

Offentligt avslöjande och bekräftelse av patchen

Wardle publicerade sina fynd i en X-tråd som började kl. 14:42 UTC den 21 september 2026, där han varnade användare att inte installera Muse och skrev att allvarliga noll‑dagssårbarheter skulle kunna låta lokala skadliga program eller angripare osynligt kapa agenten. Han kopplade tråden till ett proof‑of‑concept‑arkiv på GitHub med titeln “not-a-mused”; arkivets commit‑historik visar dess tre incheckningar — tillägg av projekttitel och beskrivning, skapande av skriptet notamused.py och uppdatering av README — alla daterade den 21 september 2026.

I ett inlägg på hans X‑profil med tidsstämpeln 06:36 UTC den 22 september 2026 skrev Wardle “Hurra, snabbt fixat!” och berömde patchens hastighet. I ett senare inlägg samma dag skrev han att han är en förespråkare för fullständig offentliggörande och menar att det får buggar åtgärdade snabbare. I sin avslöjandetråd hade han sagt att han skulle dela med sig av fler detaljer och fler buggar på säkerhetskonferensen Objective by the Sea v9.

Dikterings‑slutpunktsbristen

Enligt proof‑of‑concept‑dokumentationen exponerar Muse en odokumenterad inställning som heter endo_voyager_dictation_endpoint som en lokal angripare eller skadlig kod kan ändra utan särskilda privilegier. När en användare klickar på Muses mikrofonknapp och dikterar en prompt, säger Wardles tråd att appen skickar dikteringen till angriparens slutpunkt istället. README listar de potentiella konsekvenserna: fångst av dikterat ljud och prompts, prompt‑injektion i Muse, stöld av Muses autentiseringsmaterial och missbruk av den åtkomst som användaren har beviljat agenten. Arkivdokumentationen sammanfattar påverkan i en mening: “Muses åtkomst kan potentiellt bli angriparens åtkomst.”

Proof‑of‑concept‑implementationen innehåller en delmängd av de mer än 50 kommandon som Muse exponerar och aktiveras via mikrofonknapp‑dikteringsflödet, enligt README. README noterar att attacken är lokal: en angripare måste redan kunna köra kod som den lokala användaren. Den presenterar risken som en förstärkningsrisk och påstår att Muse kan ha avsevärt bredare åtkomst än vanlig lokal skadlig kod, vilket gör den till ett särskilt attraktivt mål för privilegie‑ och åtkomstförstärkning.

I sin tråd listade Wardle den praktiska påverkan av en lyckad kapning: stöld av en användares dikterade ljud, injektion av prompts som Muse litar på och kör, samt stöld av användarens autentiseringstoken för att kontrollera Muse direkt och osynligt. Allt som användaren hade beviljat Muse åtkomst till, inklusive meddelanden, e‑post och ekonomi, skulle också exponeras för den lokala angriparen, skrev han. I ett separat inlägg den 21 september kallade han bristen för trivial att utnyttja och begärde en fix.

Anslutna enheter och en fjärrvektor

Den exponering Wardle beskrev sträcker sig bortom en enskild Mac. I ett inlägg kl. 20:30 UTC den 21 september 2026 skrev han att när en Mac har utnyttjats kan en angripare interagera med alla användarens anslutna enheter som också kör Muse, inklusive att fjärrstyra den mobila iOS‑Muse‑klienten osynligt.

Wardle skrev den 22 september 2026 att en fjärrvektor också hade funnits: en ClickFix‑liknande attack som bara kräver ett enda användarkommando kan leverera kapningen och ge en fjärrangripare Muse‑specifik kontroll över alla enheter som offren har med Muse aktiverat, inklusive iOS. Han tog upp detta både i inlägget som bekräftade patchen och i ett uppföljningssvar i sin avslöjandetråd.

Metas dokumenterade säkerhetsdesign

Meta lanserade Muse den 8 september 2026 och presenterade den som företagets personliga agent i ett forskningsblogginlägg som beskriver systemets säkerhetsarkitektur. Meta uppgav att de designade systemet för att anta att agenten kan vara under attack och för att begränsa potentiell skada. Enligt den designen körs agentens daemon och de verktyg den exekverar i en systemd‑nspawn‑runtime‑cell som är isolerad från värdsystemet, och en separat värd‑sida‑agent kallad Sentinel fungerar som den enda behörighetsmyndigheten för connector‑åtgärder och all nätverksexport. Referenser för anslutna tjänster lagras i användarens virtuella maskin, och Sentinel utför just‑in‑time‑inmatning av referenser vid nätverksgränsen, så att agenten aldrig ser de faktiska token‑erna, enligt inlägget.

I samma inlägg meddelade Meta att de öppnar Muse:s felbelöningsprogram för alla, med priser på upp till $300 000 för giltiga rapporter, inklusive upp till $130 000 för lyckade prompt‑injektionsförsök som drabbar en enskild användare.

Meta’s Help Center dokumenterar ytterligare skydd: varje Muse‑användares virtuella maskin är isolerad från andra användares agenter, autentiseringsuppgifter såsom användarnamn och lösenord lagras i en Secure Credentials Store som låter Muse utföra auktoriserade åtgärder utan att AI‑modellen ser lösenordet, och Muse är konstruerad för att be om bekräftelse innan vissa viktiga handlingar, såsom att skicka ett e‑postmeddelande eller göra ett köp. Help Center uppger att viktiga behörighets‑ och säkerhetskontroller körs separat från AI‑modellen, så de är inte beroende av att modellen själv identifierar en skadlig instruktion.

Meta’s forskningsinlägg konstaterar att Muse inte är immun mot attacker och att prompt‑injektion fortfarande är ett öppet problem i branschen. Företaget sade att de planerar att leverera en Muse Confidential VM, utformad för att kryptografiskt och verifierbart förhindra att Meta själva får åtkomst till data i en användares VM, senare i år.