Meta, Saldırganların AI Ajanını Ele Geçirmesine İzin Veren Muse Zero-Day Açığını Hızlıca Düzeltme Yaptı

Güvenlik araştırmacısı Patrick Wardle, 22 Eylül 2026 tarihinde Meta’nın yeni piyasaya sürülen kişisel AI ajanı Muse’taki zero-day güvenlik açığını hızlı bir şekilde düzelttiğini, 21 Eylül 2026’da yaptığı kamu açıklamasının ardından söyledi. Açıklamasında, ayrıcalıksız bir yerel sürecin Mac uygulamasının dikte trafiğini saldırgan kontrolündeki bir uç noktaya yönlendirebileceğini ve ajanı görünmez bir şekilde ele geçirebileceğini belirtmişti.

Kamu Açıklaması ve Yama Onayı

Wardle, bulgularını X’te bir gönderi olarak 21 Eylül 2026, 14:42 UTC’de başlayan bir gönderide yayımladı, kullanıcılara Muse’u kurmamalarını uyardı ve ciddi zero-day hatalarının yerel kötü amaçlı yazılım veya saldırganların ajanı görünmez bir şekilde ele geçirmesine izin verebileceğini yazdı. GitHub’da “not-a-mused” başlıklı bir kanıt-ödevi deposu ile gönderiyi eşleştirdi; deponun commit geçmişi üç gönderiyi gösteriyor — proje başlığı ve açıklamasının eklenmesi, notamused.py betiğinin oluşturulması ve README’nin güncellenmesi — hepsi 21 Eylül 2026 tarihli.

06:36 UTC, 22 Eylül 2026’da zaman damgalı X profilinde bir gönderi içinde Wardle, “Yaşasın, hızlıca düzeltildi!” yazdı ve yamanın hızını övdü. O günün ilerleyen bir gönderisinde tam açıklamanın bir hayranı olduğunu, bunun hataların daha hızlı düzeltilmesini sağladığını belirtti. Açıklama dizisinde, Objective by the Sea v9 güvenlik konferansında daha fazla detay ve daha fazla hata paylaşacağını söylemişti.

Dikte-Uç Noktası Açığı

Kanıt-ödevi belgelerine göre, Muse belgelenmemiş bir ayar ortaya çıkarıyor endo_voyager_dictation_endpoint yerel bir saldırganın veya kötü amaçlı yazılımın özel ayrıcalıklar olmadan değiştirebileceği bir ayar. Bir kullanıcı Muse’un mikrofon düğmesine tıkladığında ve bir komut dikte ettiğinde, Wardle’in dizisi, uygulamanın dikteyi saldırganın uç noktasına gönderdiğini belirtiyor. README, olası sonuçları listeliyor: dikte edilen ses ve komutların ele geçirilmesi, Muse’a komut enjeksiyonu, Muse kimlik doğrulama materyallerinin çalınması ve kullanıcının ajana verdiği tüm erişimlerin kötüye kullanılması. depo belgeleri etkiyi tek bir satırda özetliyor: “Muse’un erişimi potansiyel olarak saldırganın erişimi haline gelebilir.”

Kanıt-ödevi, Muse’un sunduğu 50’den fazla komutun bir alt kümesini uygular ve mikrofon-düğmesi dikte akışı üzerinden tetiklenir, README’ye göre. README, saldırının yerel olduğunu; bir saldırganın zaten yerel kullanıcı olarak kod çalıştırabilmesi gerektiğini belirtiyor. Risk, amplifikasyon olarak çerçeveleniyor; Muse’un sıradan yerel kötü amaçlı yazılımlardan çok daha geniş bir erişime sahip olabileceği ve bu durumun ayrıcalık ve erişim amplifikasyonu için özellikle faydalı bir hedef haline getirdiği ifade ediliyor.

Dizisinde Wardle, başarılı bir ele geçirmenin pratik etkilerini şöyle sıraladı: kullanıcının dikte ettiği sesin çalınması, Muse’un güvendiği ve çalıştırdığı komutların enjekte edilmesi ve kullanıcının kimlik doğrulama belirtecinin çalınarak Muse’un doğrudan ve görünmez bir şekilde kontrol edilmesi. Kullanıcının Muse’a verdiği tüm erişimler, mesajlar, e-postalar ve finansal bilgiler dahil, yerel saldırgan tarafından da ortaya çıkarılacak, diye yazdı. 21 Eylül’de ayrı bir gönderide hatayı sömürmesinin önemsiz olduğunu ve bir düzeltme talep etti.

Bağlı Cihazlar ve Uzaktan Vektör

Wardle’in tanımladığı açığa tek bir Mac’in ötesinde bir etki var. 21 Eylül 2026, 20:30 UTC’de bir gönderide, bir Mac istismar edildiğinde, saldırganın Muse çalışan kullanıcının bağlı tüm cihazlarıyla, mobil iOS Muse istemcisini de uzaktan görünmez bir şekilde görevlendirerek etkileşime girebileceğini yazdı.

Wardle, 22 Eylül 2026’da bir uzaktan vektörün de mevcut olduğunu belirtti: yalnızca tek bir kullanıcı komutu gerektiren ClickFix tarzı bir saldırı, ele geçirmeyi gerçekleştirebilir ve uzaktan bir saldırgana, iOS dahil, mağdurun Muse‑etkin cihazları üzerinde Muse kapsamlı kontrol sağlayabilirdi. Bu noktayı, yamanın onaylandığı gönderide ve açıklama dizisindeki bir takip yanıtında vurguladı.

Meta’nın Belgelenmiş Güvenlik Tasarımı

Meta, 8 Eylül 2026’da Muse‘ı piyasaya sürdü ve sistemi şirketin kişisel ajanı olarak araştırma blog gönderisi‘nde tanıttı, bu gönderide sistemin güvenlik mimarisi ayrıntılı olarak anlatıldı. Meta, sistemin ajanın saldırı altında olabileceğini varsayacak ve potansiyel zararı sınırlayacak şekilde tasarlandığını söyledi. Bu tasarım altında, ajanın daemon’u ve çalıştırdığı araçlar, host sisteminden izole edilmiş bir systemd-nspawn çalışma hücresi içinde çalışıyor ve Sentinel adlı ayrı bir host‑tarafı ajan, bağlayıcı eylemler ve tüm ağ çıkışları için tek izin otoritesi olarak görev yapıyor. Bağlı hizmetlerin kimlik bilgileri kullanıcının sanal makinesinde saklanıyor ve Sentinel, ağ sınırında zamanında kimlik bilgisi eklemesi yapıyor, böylece ajanın gerçek token’ları hiç görmediği belirtiliyor.

Aynı gönderide Meta, Muse hata ödül programını herkese açtığını ve geçerli raporlar için 300.000 $’a kadar, tek bir kullanıcıyı etkileyen başarılı komut enjeksiyonu girişimleri için ise 130.000 $’a kadar ödüller verileceğini duyurdu.

Meta’nın Yardım Merkezi ek korumaları belgeliyor: her Muse kullanıcısının sanal makinesi diğer kullanıcıların ajanlarından izole edilmiştir, kullanıcı adı ve şifre gibi kimlik bilgileri, AI modelinin şifreyi görmeden yetkili eylemleri tamamlamasını sağlayan Güvenli Kimlik Bilgileri Deposu’nda tutulur ve Muse, bir e-posta gönderme veya satın alma gibi belirli önemli eylemlerden önce onay istemek üzere tasarlanmıştır. Yardım Merkezi, önemli izin ve güvenlik kontrollerinin AI modelinden ayrı çalıştığını, dolayısıyla modelin kötü niyetli bir talimatı kendi başına tanımasına bağlı olmadığını belirtiyor.

Meta’nın araştırma gönderisi, Muse’un saldırılara karşı bağışık olmadığını ve istemci enjeksiyonunun sektör genelinde hâlâ açık bir sorun olduğunu belirtiyor. Şirket, bu yılın ilerleyen zamanlarında Meta’nın kendisinin bir kullanıcının VM’indeki verilere erişimini kriptografik olarak ve doğrulanabilir şekilde engelleyecek bir Muse Gizli VM sunmayı planladığını söyledi.