Meta виправляє уразливість Zero-Day у Muse, яка дозволяла зловмисникам захопити AI‑агента.

Дослідник безпеки Патрік Уордл сказав 22 вересня 2026 року, що Meta виправила уразливість zero‑day у Muse, її новому персональному AI‑агенті, після його публічного розкриття 21 вересня 2026 року, коли було виявлено, що непривілейований локальний процес може перенаправляти трафік диктування Mac‑додатку на контрольовану зловмисником кінцеву точку та невидимо захоплювати агента.

Публічне розкриття та підтвердження виправлення

Уордл опублікував свої висновки в тему в X, яка розпочалася о 14:42 UTC 21 вересня 2026 року, попереджаючи користувачів не встановлювати Muse і зазначаючи, що серйозні уразливості zero‑day можуть дозволити локальному шкідливому ПЗ або зловмисникам невидимо захопити агента. Він доповнив допис репозиторієм proof‑of‑concept на GitHub під назвою “not-a-mused”; історія комітів репозиторію показує три коміти — додавання назви та опису проєкту, створення скрипту notamused.py та оновлення README — усі датовані 21 вересня 2026 року.

У пості у його профілі в X, датованому 06:36 UTC 22 вересня 2026 року, Уордл написав “Hooray, hot-fixed!” і похвалив швидкість виправлення. У пізнішому дописі того ж дня він зазначив, що є прихильником повного розкриття, стверджуючи, що це прискорює виправлення багів. У своєму розкривному потоці він сказав, що поділиться більш детальною інформацією та новими вразливостями на конференції Objective by the Sea v9.

Уразливість кінцевої точки диктування

За документацією proof‑of‑concept, Muse відкриває недокументоване налаштування під назвою endo_voyager_dictation_endpoint яке локальний зловмисник або шкідливе ПЗ може змінити без особливих привілеїв. Коли користувач натискає кнопку мікрофону в Muse і диктує запит, згідно з потоком Уордла, застосунок надсилає диктування до кінцевої точки зловмисника. У README перераховані потенційні наслідки: захоплення диктованого аудіо та запитів, ін’єкція запитів у Muse, крадіжка матеріалів автентифікації Muse та зловживання будь‑яким доступом, який користувач надав агенту. Документація репозиторію підсумовує вплив в одному рядку: “Доступ Muse може потенційно стати доступом зловмисника”.

Proof‑of‑concept реалізує підмножину з понад 50 команд, які надає Muse, і активується через потік диктування за допомогою кнопки мікрофону, згідно з README. У README зазначено, що атака є локальною: зловмисник вже повинен мати можливість виконувати код від імені локального користувача. Це розглядає ризик як підсилення, стверджуючи, що Muse може мати значно ширший доступ, ніж звичайне локальне шкідливе ПЗ, що робить його особливо цільовим для підвищення привілеїв та доступу.

У своєму потоці Уордл навів практичний вплив успішного захоплення: крадіжку диктованого користувачем аудіо, ін’єкцію запитів, яким Muse довіряє і виконує, та викрадення токену автентифікації користувача для прямого та невидимого керування Muse. Будь‑який доступ, який користувач надав Muse, включаючи повідомлення, електронну пошту та фінанси, також буде доступний локальному зловмиснику, — написав він. У окремому дописі 21 вересня він назвав уразливість тривіальною для експлуатації та попросив виправити її.

Підключені пристрої та віддалений вектор

Вразливість, описана Уордлом, поширюється не лише на один Mac. У дописі о 20:30 UTC 21 вересня 2026 року він написав, що після компрометації Mac зловмисник може взаємодіяти з будь‑якими підключеними пристроями користувача, на яких також запущений Muse, включаючи віддалене невидиме керування мобільним клієнтом Muse для iOS.

Уордл написав 22 вересня 2026 року, що існує також віддалений вектор: атака у стилі ClickFix, що потребує лише одну команду, виконану користувачем, може здійснити захоплення та надати віддаленому зловмиснику контроль у межах Muse над усіма пристроями жертви, на яких увімкнено Muse, включаючи iOS. Він підняв це питання як у дописі, що підтверджував виправлення, так і у відповіді в своєму розкривному потоці.

Документований дизайн безпеки Meta

Meta запустила Muse 8 вересня 2026 року, представивши його як персонального агента компанії у дослідницькому блозі, який деталізує архітектуру безпеки системи. Meta заявила, що система спроектована так, щоб передбачати можливу атаку на агента і обмежувати потенційні збитки. За цим дизайном демон агента та інструменти, які він виконує, працюють у середовищі systemd‑nspawn, ізольованому від хост‑системи, а окремий агент на боці хоста під назвою Sentinel виконує роль єдиного уповноваженого щодо дій конекторів та всього мережевого виходу. Облікові дані для підключених сервісів зберігаються у віртуальній машині користувача, і Sentinel виконує вставку облікових даних у режимі just‑in‑time на межі мережі, тому агент ніколи не бачить реальних токенів, згідно з дописом.

У тому ж дописі Meta повідомила, що відкриває програму bug bounty для Muse для всіх, з нагородами до 300 000 $ за дійсні звіти, включаючи до 130 000 $ за успішні спроби ін’єкції запитів, які впливають на одного користувача.

Центр довідки Meta документує додаткові захисти: віртуальна машина кожного користувача Muse ізольована від агентів інших користувачів, облікові дані, такі як імена користувачів і паролі, зберігаються у безпечному сховищі облікових даних, яке дозволяє Muse виконувати уповноважені дії, не показуючи пароль моделі ШІ, а Muse спроектовано так, щоб запитувати підтвердження перед певними важливими діями, такими як надсилання електронного листа або здійснення покупки. Центр довідки зазначає, що важливі перевірки дозволів і безпеки працюють окремо від моделі ШІ, тому вони не залежать від того, чи модель сама розпізнає зловмисну інструкцію.

Дослідницький пост Meta зазначає, що Muse не є імунним до атак і що ін’єкція підказок залишається відкритою проблемою у всій галузі. Компанія заявила, що планує випустити Muse Confidential VM, розроблений для криптографічного та верифікованого запобігання доступу Meta до даних у віртуальній машині користувача, пізніше цього року.