Meta nhanh chóng sửa lỗi zero-day của Muse cho phép kẻ tấn công chiếm đoạt đại lý AI

Nhà nghiên cứu bảo mật Patrick Wardle cho biết vào ngày 22 tháng 9 năm 2026 rằng Meta đã nhanh chóng sửa một lỗ hổng zero-day trong Muse, đại lý AI cá nhân mới ra mắt, sau khi ông công khai vào ngày 21 tháng 9 năm 2026 rằng một tiến trình cục bộ không có đặc quyền có thể chuyển hướng lưu lượng ghi âm của ứng dụng Mac tới một điểm cuối do kẻ tấn công kiểm soát và vô hình chiếm đoạt đại lý.

Công Khai Tiết Lộ và Xác Nhận Bản Vá

Wardle công bố phát hiện của mình trong một chuỗi trên X bắt đầu lúc 14:42 UTC ngày 21 tháng 9 năm 2026, cảnh báo người dùng không nên cài đặt Muse và viết rằng các lỗ hổng zero-day nghiêm trọng có thể cho phép phần mềm độc hại cục bộ hoặc kẻ tấn công vô hình chiếm đoạt đại lý. Ông đã kết hợp chuỗi này với một kho chứng minh khái niệm trên GitHub có tiêu đề “not-a-mused”; lịch sử cam kết của kho cho thấy ba lần cam kết — thêm tiêu đề và mô tả dự án, tạo script notamused.py, và cập nhật README — đều có ngày 21 tháng 9 năm 2026.

Trong một bài đăng trên hồ sơ X của anh ấy có dấu thời gian 06:36 UTC ngày 22 tháng 9 năm 2026, Wardle viết “Hooray, hot-fixed!” và khen ngợi tốc độ của bản vá. Trong một bài đăng sau đó vào cùng ngày, ông viết rằng mình là người ủng hộ việc công khai đầy đủ, cho rằng cách này giúp sửa lỗi nhanh hơn. Trong chuỗi tiết lộ của mình, ông đã nói rằng sẽ chia sẻ thêm chi tiết, và nhiều lỗi hơn, tại hội nghị bảo mật Objective by the Sea v9.

Lỗ Hổng Điểm Cuối Ghi Âm

Theo tài liệu chứng minh khái niệm, Muse tiết lộ một cài đặt chưa được tài liệu mô tả có tên là endo_voyager_dictation_endpoint mà một kẻ tấn công cục bộ hoặc phần mềm độc hại có thể sửa đổi mà không cần đặc quyền. Khi người dùng nhấn nút micro của Muse và đưa ra lời nhắc, theo chuỗi của Wardle, ứng dụng sẽ gửi lời nhắc tới điểm cuối do kẻ tấn công kiểm soát. README liệt kê các hậu quả tiềm tàng: ghi lại âm thanh và lời nhắc đã được dictate, tiêm lời nhắc vào Muse, đánh cắp tài liệu xác thực của Muse, và lạm dụng bất kỳ quyền truy cập nào mà người dùng đã cấp cho đại lý. tài liệu kho tóm tắt tác động trong một dòng: “Quyền truy cập của Muse có thể tiềm năng trở thành quyền truy cập của kẻ tấn công.”

Bằng chứng khái niệm thực hiện một tập con của hơn 50 lệnh mà Muse cung cấp và được kích hoạt thông qua luồng ghi âm khi nhấn nút micro, theo README. README lưu ý rằng cuộc tấn công là cục bộ: kẻ tấn công phải đã có khả năng thực thi mã dưới quyền người dùng cục bộ. Nó mô tả rủi ro như một sự khuếch đại, cho rằng Muse có thể có quyền truy cập rộng hơn đáng kể so với phần mềm độc hại cục bộ thông thường, điều này khiến nó trở thành mục tiêu đặc biệt hữu ích cho việc khuếch đại đặc quyền và quyền truy cập.

Trong chuỗi của mình, Wardle liệt kê các tác động thực tiễn của một vụ chiếm đoạt thành công: đánh cắp âm thanh được dictate của người dùng, tiêm lời nhắc mà Muse tin tưởng và thực thi, và đánh cắp token xác thực của người dùng để kiểm soát Muse một cách trực tiếp và vô hình. Bất kỳ thứ nào mà người dùng đã cấp quyền truy cập cho Muse, bao gồm tin nhắn, email và tài chính, cũng sẽ bị kẻ tấn công cục bộ tiếp cận, ông viết. Trong một bài đăng riêng vào ngày 21 tháng 9, ông gọi lỗ hổng này là dễ khai thác và yêu cầu một bản vá.

Thiết Bị Kết Nối và Một Véc Tơ Từ Xa

Sự lộ lọt mà Wardle mô tả không chỉ giới hạn ở một máy Mac duy nhất. Trong một bài đăng lúc 20:30 UTC ngày 21 tháng 9 năm 2026, ông viết rằng khi một máy Mac bị khai thác, kẻ tấn công có thể tương tác với bất kỳ thiết bị kết nối nào của người dùng cũng đang chạy Muse, bao gồm việc điều khiển từ xa khách hàng Muse trên iOS một cách vô hình.

Wardle viết vào ngày 22 tháng 9 năm 2026 rằng một vectơ từ xa cũng đã tồn tại: một cuộc tấn công kiểu ClickFix chỉ cần một lệnh do người dùng chạy có thể thực hiện việc chiếm đoạt và cung cấp cho kẻ tấn công từ xa quyền kiểm soát toàn bộ các thiết bị có bật Muse của nạn nhân, bao gồm iOS. Ông đã nêu ra điểm này cả trong bài đăng xác nhận bản vá và trong phản hồi tiếp theo trong chuỗi tiết lộ của mình.

Thiết Kế Bảo Mật Được Tài Liệu Hóa của Meta

Meta ra mắt Muse vào ngày 8 tháng 9 năm 2026, giới thiệu nó như là đại lý cá nhân của công ty trong một bài đăng trên blog nghiên cứu mô tả kiến trúc bảo mật của hệ thống. Meta cho biết họ thiết kế hệ thống với giả định rằng đại lý có thể bị tấn công và nhằm hạn chế thiệt hại tiềm tàng. Theo thiết kế này, daemon của đại lý và các công cụ mà nó thực thi chạy trong một ô runtime systemd-nspawn được cô lập khỏi hệ thống chủ, và một đại lý phía máy chủ riêng biệt gọi là Sentinel đóng vai trò là cơ quan cấp quyền duy nhất cho các hành động kết nối và mọi luồng ra mạng. Thông tin đăng nhập cho các dịch vụ kết nối được lưu trong máy ảo của người dùng, và Sentinel thực hiện chèn thông tin đăng nhập ngay tại thời điểm cần thiết ở ranh giới mạng, vì vậy đại lý không bao giờ thấy token thực, theo bài đăng.

Trong cùng bài đăng, Meta cho biết họ đang mở chương trình thưởng lỗi (bug bounty) cho Muse cho bất kỳ ai, với giải thưởng lên tới 300.000 USD cho các báo cáo hợp lệ, bao gồm tới 130.000 USD cho các nỗ lực tiêm lời nhắc thành công ảnh hưởng đến một người dùng.

Meta’s Help Center ghi lại các biện pháp bảo vệ bổ sung: mỗi máy ảo của người dùng Muse được cô lập khỏi các tác nhân của người dùng khác, các thông tin đăng nhập như tên người dùng và mật khẩu được lưu trong Secure Credentials Store cho phép Muse thực hiện các hành động được ủy quyền mà không để mô hình AI nhìn thấy mật khẩu, và Muse được thiết kế để yêu cầu xác nhận trước một số hành động quan trọng, chẳng hạn như gửi email hoặc thực hiện mua hàng. Trung tâm trợ giúp cho biết các kiểm tra quyền và bảo mật quan trọng hoạt động riêng biệt với mô hình AI, vì vậy chúng không phụ thuộc vào việc mô hình tự nhận diện một lệnh độc hại.

Bài đăng nghiên cứu của Meta cho biết Muse không miễn nhiễm trước các cuộc tấn công và việc tiêm lệnh vẫn là một vấn đề mở trong toàn ngành. Công ty cho biết họ dự định ra mắt Muse Confidential VM, được thiết kế để mã hóa và xác minh ngăn Meta tự truy cập dữ liệu trong máy ảo của người dùng, vào cuối năm nay.