Meta 快速修复了让攻击者劫持 AI 代理的 Muse 零日漏洞

安全研究员 Patrick Wardle 于 2026 年 9 月 22 日表示，Meta 已对其新推出的个人 AI 代理 Muse 的零日漏洞进行了快速修复，此前他在 2026 年 9 月 21 日公开披露，称一个无特权的本地进程可以将 Mac 应用的语音输入流重定向到攻击者控制的端点，并在不被察觉的情况下劫持该代理。

公开披露与补丁确认

Wardle 在 一条 X 线程 中发布了他的研究结果，该线程于 2026 年 9 月 21 日 14:42 UTC 开始，警告用户不要安装 Muse，并写道，严重的零日缺陷可能让本地恶意软件或攻击者在不被察觉的情况下劫持该代理。他将该线程与 GitHub 上一个名为 “not-a-mused” 的概念验证仓库关联；该仓库的 提交历史 显示了三次提交——添加项目标题和描述、创建 notamused.py 脚本以及更新 README——全部标注为 2026 年 9 月 21 日。

在 他在 X 个人资料上的一篇帖子 中，时间戳为 2026 年 9 月 22 日 06:36 UTC，Wardle 写道 “太好了，已快速修复！” 并赞扬了补丁的速度。当天稍后的另一篇帖子中，他表示自己是完全披露的拥护者，称这样可以更快修复漏洞。在他的披露线程中，他曾说会在 Objective by the Sea 第 9 届安全会议上分享更多细节和更多漏洞。

语音输入端点漏洞

根据概念验证的文档，Muse 暴露了一个未记录的设置，称为 endo_voyager_dictation_endpoint 本地攻击者或恶意软件无需特殊权限即可修改。用户点击 Muse 的麦克风按钮并口述提示时，Wardle 的线程指出，应用会将语音输入发送到攻击者的端点。README 列出了潜在后果：捕获口述的音频和提示、向 Muse 注入提示、窃取 Muse 的身份验证材料，以及滥用用户授予代理的任何访问权限。仓库文档 用一句话概括了影响：“Muse 的访问权限可能会变成攻击者的访问权限”。

根据 README，概念验证实现了 Muse 所暴露的 50 多个命令中的一个子集，并通过麦克风按钮的语音输入流程触发。README 说明该攻击是本地的：攻击者必须已经能够以本地用户身份执行代码。它将风险描述为放大效应，指出 Muse 可能拥有远超普通本地恶意软件的访问权限，这使其成为特权和访问放大的特别有价值的目标。

在他的线程中，Wardle 列出了成功劫持的实际影响：窃取用户口述的音频、注入 Muse 信任并执行的提示，以及窃取用户的身份验证令牌以直接且隐蔽地控制 Muse。用户授予 Muse 的任何访问权限，包括消息、电子邮件和财务信息，也会暴露给本地攻击者，他写道。在 9 月 21 日的另一篇帖子中，他称该缺陷易于利用，并请求修复。

已连接设备与远程向量

Wardle 描述的漏洞不仅限于单台 Mac。2026 年 9 月 21 日 20:30 UTC 的一篇帖子中，他写道，一旦 Mac 被利用，攻击者即可与用户的任何已连接设备交互，只要这些设备也在运行 Muse，包括远程隐蔽地指派移动 iOS Muse 客户端任务。

Wardle 于 2026 年 9 月 22 日写道，远程向量同样存在：一种类似 ClickFix 的攻击只需用户运行单条命令即可实现劫持，并赋予远程攻击者对受害者所有启用 Muse 的设备（包括 iOS）的 Muse 范围控制权。他在确认补丁的帖子以及披露线程的后续回复中都提出了这一点。

Meta 的已记录安全设计

Meta 于 2026 年 9 月 8 日推出了 Muse，在 一篇研究博客文章 中将其介绍为公司的个人代理，并详细阐述了系统的安全架构。Meta 表示，系统的设计假设代理可能受到攻击，并旨在限制潜在损害。基于此设计，代理的守护进程及其执行的工具运行在与主机系统隔离的 systemd-nspawn 运行时单元内，另有一个名为 Sentinel 的主机侧代理充当连接器操作及所有网络出口的唯一权限授权者。已连接服务的凭证存储在用户的虚拟机中，Sentinel 在网络边界进行即时凭证插入，使代理永远看不到真实令牌，文章如此说明。

在同一篇文章中，Meta 表示将 Muse 漏洞赏金计划向所有人开放，针对有效报告的奖励最高可达 300,000 美元，其中针对影响单个用户的成功提示注入尝试的奖励最高可达 130,000 美元。

Meta帮助中心记录了额外的防护措施：每位Muse用户的虚拟机与其他用户的代理相互隔离，用户名和密码等凭证存储在安全凭证存储中，使Muse能够在不让AI模型看到密码的情况下完成授权操作，并且Muse在执行某些重要操作（如发送电子邮件或进行购买）前会请求确认。帮助中心指出，重要的权限和安全检查在AI模型之外独立运行，因此它们不依赖模型自行识别恶意指令。

Meta的研究报告指出，Muse并非对攻击免疫，且提示注入仍是整个行业的未解决问题。公司表示，计划在今年晚些时候推出Muse Confidential VM，该虚拟机旨在通过加密和可验证的方式防止Meta本身访问用户虚拟机中的数据。