Meta закрыла 0-day в ИИ-агенте Muse

Исследователь безопасности Патрик Уордл нашёл в macOS-приложении Muse от Meta уязвимость нулевого дня. Любая локальная программа или команда в терминале могла изменить недокументированную настройку Muse и перенаправить обработку диктовки с серверов Meta на собственный endpoint атакующего. Вместе с этим к нему уходил токен аутентификации, а с ним и полный контроль над аккаунтом Muse. Уордл собрал несколько proof-of-concept атак: они записывали вредоносные файлы на диск и делали снимки, в большинстве случаев не уведомляя пользователя.

«Мы можем манипулировать агентом и использовать его привилегии как угодно. Вместо того чтобы писать полноценный macOS-стилер, мы просто используем сам ИИ-ассистент», — сказал он Ars Technica.

Meta выпустила хотфикс через несколько часов после публикации Ars. Дэвид Синглтон из Meta Superintelligence Labs назвал произошедшее локальной эскалацией привилегий, а не удалённым эксплойтом: для атаки нужен вредоносный код, уже работающий на машине под аккаунтом пользователя, поэтому практический риск для пользователей Mac-приложения «довольно низкий».

Атаке поспособствовали два решения разработчиков: диктовка Muse выполняется в облаке, а не на устройстве, и любое приложение может управлять всеми недокументированными настройками. Примерно за 12 часов до раскрытия 0-day Amazon начал блокировать работу Muse на своём сайте с сообщением, что это «неавторизованный ИИ-агент, нарушающий условия использования Amazon». Amazon попросила Meta убрать свою площадку из сценариев агента. Уордл расскажет о находке на конференции Objective by the Sea в ноябре.