Уязвимост от тип нулев ден в AI асистента Muse на Meta за macOS може да позволи на зловреден софтуер, който вече се изпълнява под потребителски акаунт, да поеме контрол над асистента, да прихваща диктувани заявки (prompts), да инжектира злонамерени инструкции и да краде идентификационни данни за автентикация.
Пропускът е особено тревожен, тъй като компрометираният асистент може да наследи обширните разрешения и достъп до свързани услуги, които потребителите са поверили на Muse.
Изследователят по сигурността Патрик Уордъл, основател на Objective-See, разкри проблема заедно с демонстрационен експлойт (proof-of-concept), наречен „not-a-mused“. Неговото изследване установи, че Muse съдържа недокументирана конфигурационна настройка, наречена endo_voyager_dictation_endpoint, която непривилегирован локален процес може да модифицира без повишени права. Промяната на тази стойност пренасочва трафика от диктовката на Muse от предвиденото му местоназначение към сървър, контролиран от атакуващия.
След като крайната точка бъде пренасочена, атакуващият може да записва диктувания звук и заявки, преди те да достигнат до бекенда на Muse, да манипулира инструкциите, подавани към асистента, и да извлича данни за автентикация, свързани с акаунта на жертвата. Това отваря възможност за инжектиране на заявки (prompt injection) и превземане на сесии, което потенциално позволява изпълнението на злонамерени команди или съдържание през доверен работен процес на изкуствения интелект.
Zero-day уязвимост в AI асистента Muse на Meta
Уязвимостта не предоставя възможност за отдалечено изпълнение на код срещу незасегнат Mac. Атакуващият първо трябва да придобие възможност да изпълнява код като локален потребител, например чрез конвенционален зловреден софтуер или техники на социално инженерство. Въпреки това Уордъл твърди, че дефектът действа като усилвател на достъпа: обикновен зловреден софтуер, ограничен от контролите за поверителност на macOS, би могъл да се насочи към Muse и да се възползва от по-широките права, вече предоставени на асистента.
Следователно експлойтът подчертава как нископривилегирован достъп може да стане опасен, когато доверен асистент разполага с обширни делегирани права върху свързани услуги.
Тези права могат да бъдат значителни. Meta посочва, че Muse може да работи с файлове, приложения и раздели в браузъра, да се свързва с имейл и календари, да сърфира в мрежата, да извършва покупки и да продължава да изпълнява задачи във фонов режим. Инструментът може също така да изисква одобрение за чувствителни действия и да поддържа одитни записи, но атакуващ, който контролира неговия доверен канал за команди, може да бъде в позиция да злоупотреби със свързаните ресурси.
Демонстрационният код на Уордъл имплементира само част от над 50-те команди, поддържани от Muse. Отделни демонстрации показват как компрометираният акаунт идентифицира свързани устройства и насочва онлайн iPhone да върне информация за местоположението или да стартира сканиране за Bluetooth Low Energy, разширявайки потенциалното въздействие отвъд инфектирания Mac.
Разкритието засили опасенията, че високопривилегированите AI асистенти се превръщат в единична точка на отказ (single point of failure). Уордъл отбелязва, че инструментите за защита на крайни точки (EDR) могат да срещнат затруднения при разграничаването на действия, инициирани от потребител, от асистента или от атакуващ, когато командите се изпълняват през доверено, цифрово подписано приложение. Бивш мениджър по сигурността на AI в Meta също заяви, че не би използвал Muse поради опасения за сигурността и поверителността.
Meta рекламира Muse като фокусиран върху сигурността персонален асистент, изграден около специализирана защитена виртуална машина (Secure VM), защитено съхранение на идентификационни данни и потребителски контролирани разрешения. Компанията също така поддържа публична програма за откриване на уязвимости (bug bounty) с награди до 300 000 долара за отговарящи на условията дефекти в сигурността на Muse или въздействащи доклади за prompt injection. Meta не беше отговорила публично на конкретните констатации на Уордъл към момента на появата на първоначалните доклади.
Докато не бъде налична потвърдена корекция за сигурност, потребителите на Mac трябва да третират Muse като високорискова цел. Потребителите могат да намалят риска, като спрат приложението временно, прегледат и оттеглят ненужните разрешения и свързани акаунти, обновят идентификационните данни за автентикация при съмнение за компрометиране и следят за неочаквана активност на асистента. Организациите трябва също да ограничат неодобрените AI асистенти на управляваните Mac компютри и да разследват всеки процес, който променя конфигурацията на крайните точки на Muse.