Meta แก้ไขด่วน Muse Zero-Day ที่ทำให้ผู้โจมตีสามารถยึดครองเอเย่นต์ AI

นักวิจัยด้านความปลอดภัย Patrick Wardle กล่าวเมื่อวันที่ 22 กันยายน 2026 ว่า Meta ได้ทำการแก้ไขด่วนช่องโหว่ zero‑day ใน Muse ซึ่งเป็นเอเย่นต์ AI ส่วนบุคคลที่เพิ่งเปิดตัวใหม่ หลังจากที่เขาเปิดเผยต่อสาธารณะเมื่อวันที่ 21 กันยายน 2026 ว่า กระบวนการระดับโลคัลที่ไม่มีสิทธิพิเศษสามารถเปลี่ยนเส้นทางการจดจำเสียงของแอป Mac ไปยังจุดสิ้นสุดที่ควบคุมโดยผู้โจมตีและยึดครองเอเย่นต์โดยไม่ปรากฏ

การเปิดเผยต่อสาธารณะและการยืนยันแพตช์

Wardle เผยแพร่ผลการวิจัยของเขาใน กระทู้ X ที่เริ่มต้นเวลา 14:42 UTC วันที่ 21 กันยายน 2026 โดยเตือนผู้ใช้ไม่ให้ติดตั้ง Muse และเขียนว่าข้อบกพร่อง zero‑day ที่ร้ายแรงอาจทำให้มัลแวร์หรือผู้โจมตีระดับโลคัลยึดครองเอเย่นต์โดยไม่ปรากฏ เขาได้แนบกระทู้นี้กับคลังโค้ด proof‑of‑concept บน GitHub ชื่อ “not-a-mused”; ประวัติการคอมมิต ของคลังแสดงการคอมมิตสามครั้ง — เพิ่มชื่อและคำอธิบายของโครงการ, สร้างสคริปต์ notamused.py, และอัปเดต README — ทั้งหมดมีวันที่ 21 กันยายน 2026

ใน โพสต์บนโปรไฟล์ X ของเขา ที่มีเวลา 06:36 UTC วันที่ 22 กันยายน 2026, Wardle เขียนว่า “Hooray, hot-fixed!” และชมความเร็วของแพตช์ ในโพสต์ต่อมาภายในวันเดียวกัน, เขาเขียนว่าเขาเป็นผู้สนับสนุนการเปิดเผยเต็มรูปแบบ, กล่าวว่าการทำเช่นนั้นทำให้บั๊กได้รับการแก้ไขเร็วขึ้น ในกระทู้การเปิดเผยของเขา, เขาได้บอกว่าจะเผยรายละเอียดเพิ่มเติมและบั๊กเพิ่มเติมที่การประชุมความปลอดภัย Objective by the Sea v9

ข้อบกพร่องจุดสิ้นสุดการจดจำเสียง

ตามเอกสารของ proof‑of‑concept, Muse เปิดเผยการตั้งค่าที่ไม่ได้รับการบันทึกชื่อว่า endo_voyager_dictation_endpoint ซึ่งผู้โจมตีระดับโลคัลหรือมัลแวร์สามารถแก้ไขได้โดยไม่ต้องมีสิทธิพิเศษ เมื่อผู้ใช้คลิกปุ่มไมโครโฟนของ Muse และสั่งการด้วยเสียง, ตามที่กระทู้ของ Wardle ระบุ, แอปจะส่งการจดจำเสียงไปยังจุดสิ้นสุดของผู้โจมตีแทน README ระบุผลที่อาจเกิดขึ้น: การจับบันทึกเสียงและคำสั่งที่จดจำ, การฉีดคำสั่งเข้าสู่ Muse, การขโมยข้อมูลการรับรองของ Muse, และการใช้ประโยชน์จากการเข้าถึงใด ๆ ที่ผู้ใช้ได้มอบให้เอเย่นต์ เอกสารคลังโค้ด สรุปผลกระทบในบรรทัดเดียวว่า “Muse’s access can potentially become the attacker’s access.”

Proof‑of‑concept นำเสนอส่วนย่อยของคำสั่งกว่า 50 คำสั่งที่ Muse เปิดเผยและถูกกระตุ้นผ่านกระบวนการจดจำเสียงโดยปุ่มไมโครโฟน ตามที่ README ระบุ README ชี้ให้เห็นว่าการโจมตีเป็นระดับโลคัล: ผู้โจมตีต้องสามารถรันโค้ดในฐานะผู้ใช้โลคัลได้แล้ว มันอธิบายความเสี่ยงว่าเป็นการขยายผล, โดยระบุว่า Muse อาจมีการเข้าถึงที่กว้างขวางกว่ามัลแวร์โลคัลทั่วไปอย่างมาก, ซึ่งทำให้มันเป็นเป้าหมายที่มีประโยชน์เป็นพิเศษสำหรับการขยายสิทธิและการเข้าถึง

ในกระทู้ของเขา, Wardle ระบุผลกระทบเชิงปฏิบัติของการยึดครองที่สำเร็จ: การขโมยเสียงที่ผู้ใช้จดจำ, การฉีดคำสั่งที่ Muse เชื่อถือและดำเนินการ, และการขโมยโทเคนการรับรองของผู้ใช้เพื่อควบคุม Muse โดยตรงและโดยไม่ปรากฏ สิ่งใดที่ผู้ใช้ได้มอบสิทธิให้ Muse เข้าถึง, รวมถึงข้อความ, อีเมล, และการเงิน, ก็จะถูกเปิดเผยต่อผู้โจมตีระดับโลคัลเช่นกัน, เขาเขียนไว้ ในโพสต์แยกต่างหากเมื่อวันที่ 21 กันยายน, เขาเรียกว่าข้อบกพร่องนี้ง่ายต่อการใช้ประโยชน์และขอให้แก้ไข

อุปกรณ์ที่เชื่อมต่อและเวกเตอร์ระยะไกล

การเปิดเผยที่ Wardle อธิบายขยายออกไปไกลกว่ามา็คเครื่องเดียว ในโพสต์เวลา 20:30 UTC วันที่ 21 กันยายน 2026, เขาเขียนว่าเมื่อ Mac ถูกโจมตี, ผู้โจมตีสามารถโต้ตอบกับอุปกรณ์ที่เชื่อมต่อของผู้ใช้ที่กำลังรัน Muse ด้วยเช่นกัน, รวมถึงการสั่งงานระยะไกลให้กับไคลเอนต์ Muse บน iOS อย่างไม่ปรากฏ

Wardle เขียนเมื่อวันที่ 22 กันยายน 2026 ว่าเวกเตอร์ระยะไกลก็มีอยู่เช่นกัน: การโจมตีแบบ ClickFix ที่ต้องการเพียงคำสั่งเดียวที่ผู้ใช้รันสามารถทำให้เกิดการยึดครองและให้ผู้โจมตีระยะไกลควบคุมอุปกรณ์ที่เปิดใช้งาน Muse ของเหยื่อทั้งหมด, รวมถึง iOS ด้วย เขาได้ยกประเด็นนี้ทั้งในโพสต์ที่ยืนยันแพตช์และในการตอบกลับต่อเนื่องในกระทู้การเปิดเผยของเขา

การออกแบบความปลอดภัยที่ได้รับการบันทึกของ Meta

Meta เปิดตัว Muse เมื่อวันที่ 8 กันยายน 2026, โดยแนะนำให้เป็นเอเย่นต์ส่วนบุคคลของบริษัทใน โพสต์บล็อกการวิจัย ที่อธิบายสถาปัตยกรรมความปลอดภัยของระบบ Meta กล่าวว่ามันได้ออกแบบระบบโดยคาดว่าเอเย่นต์อาจอยู่ภายใต้การโจมตีและเพื่อจำกัดความเสียหายที่อาจเกิดขึ้น ภายใต้การออกแบบนั้น, daemon ของเอเย่นต์และเครื่องมือที่มันเรียกใช้ทำงานภายในเซลล์ runtime systemd‑nspawn ที่แยกจากระบบโฮสต์, และเอเย่นต์ด้านโฮสต์แยกต่างหากที่ชื่อ Sentinel ทำหน้าที่เป็นผู้ให้สิทธิ์เดียวสำหรับการกระทำของคอนเนคเตอร์และการส่งออกเครือข่ายทั้งหมด การรับรองสำหรับบริการที่เชื่อมต่อถูกเก็บไว้ในเครื่องเสมือนของผู้ใช้, และ Sentinel ทำการแทรกรับรองแบบทันทีที่ขอบเครือข่าย, ดังนั้นเอเย่นต์จึงไม่เคยเห็นโทเคนจริงตามที่โพสต์ระบุ

ในโพสต์เดียวกัน, Meta กล่าวว่าได้เปิดโปรแกรมบั๊กบาวานตีของ Muse ให้กับทุกคน, โดยมอบรางวัลสูงสุดถึง $300,000 สำหรับรายงานที่ถูกต้อง, รวมถึงรางวัลสูงสุด $130,000 สำหรับความพยายามฉีดคำสั่งที่สำเร็จและส่งผลกระทบต่อผู้ใช้หนึ่งราย

ศูนย์ช่วยเหลือของ Meta ระบุการป้องกันเพิ่มเติม: เครื่องเสมือนของผู้ใช้ Muse แต่ละคนจะถูกแยกจากเอเจนต์ของผู้ใช้คนอื่น, ข้อมูลรับรองเช่นชื่อผู้ใช้และรหัสผ่านจะถูกเก็บไว้ใน Secure Credentials Store ซึ่งทำให้ Muse สามารถดำเนินการที่ได้รับอนุญาตได้โดยที่โมเดล AI ไม่ได้เห็นรหัสผ่าน, และ Muse ถูกออกแบบให้ขอการยืนยันก่อนทำการสำคัญบางอย่าง เช่น การส่งอีเมลหรือการทำการซื้อ. ศูนย์ช่วยเหลือระบุว่าการตรวจสอบสิทธิ์และความปลอดภัยที่สำคัญทำงานแยกจากโมเดล AI, ดังนั้นจึงไม่ต้องพึ่งพาโมเดลในการรับรู้คำสั่งที่เป็นอันตรายด้วยตนเอง.

โพสต์การวิจัยของ Meta ระบุว่า Muse ไม่ได้เป็นภูมิคุ้มกันต่อการโจมตีและการฉีดคำสั่งยังคงเป็นปัญหาเปิดที่ทั่วอุตสาหกรรม. บริษัทกล่าวว่าจะมอบ Muse Confidential VM ซึ่งออกแบบให้ป้องกันไม่ให้ Meta เองเข้าถึงข้อมูลใน VM ของผู้ใช้โดยใช้การเข้ารหัสและการตรวจสอบได้อย่างชัดเจน, ภายในปลายปีนี้.