Meta Muse Mac 版出現零日漏洞　研究員示範帳戶劫持攻擊

資深 macOS 安全研究員 Patrick Wardle 在 Meta 剛推出的個人 AI 助理 Muse（Mac 版）發現零日漏洞。任何在本機執行的應用程式或終端機指令，都可以在毋須特殊權限下修改 Muse 的未公開設定，把語音輸入的目的地改指到攻擊者控制的伺服器，進而取得帳戶權限。Meta 已推出修補，用家應盡快更新。

事件背景

Muse 是 Meta 新推出的個人 AI 代理，本月較早時候在 Mac 上登場。它與一般聊天機械人不同，設計目的是代用家跨應用程式處理工作，例如撰寫電郵、填寫表格、處理付款及完成購買，正因如此需要相當廣泛的授權。過去兩星期，Meta 高調宣傳其保安安排，包括專用的 Secure VM、名為 Sentinel 的監控系統，以及上限 300,000 美元的漏洞賞金，行政總裁朱克伯格亦公開表示該代理「由零開始為私隱與保安而設計」。

漏洞運作方式

Wardle 發現，Muse for Mac 內多項未公開設定可被本機執行的任何應用程式或終端機指令修改，過程不需要 macOS 的特殊權限。其中一項設定 endo_voyager_dictation_endpoint 決定用家口述指令的傳送位置。攻擊者把該設定指向自己控制的伺服器後，用家下次口述的內容便會送到攻擊者手中，再從中取得代表 Muse 帳戶的驗證權杖，藉此控制該 AI 代理。

Wardle 展示了數個概念驗證攻擊，包括向 Mac 寫入惡意檔案、使用相機拍攝畫面，以及以被劫持的 Muse 帳戶讀取已連繫 iPhone 的所在位置。他同時指出，蘋果早已向開發者提供裝置端語音辨識，若 Meta 採用相關功能，此漏洞根本不會出現；現實是 Muse 會把聲音傳送到伺服器處理。

影響範圍與修補

這並非遠端開機即中的漏洞，攻擊者首先要能在目標 Mac 上執行指令。不過 Wardle 指出，現時流行的 ClickFix 手法只需誘騙用家把一段指令貼入終端機，即可為遠端攻擊者打開入口。Meta 據報已推送熱修，Wardle 亦在社交平台確認修補速度；使用 Mac 版 Muse 的用家應立即更新應用程式。

資料來源：9to5Mac