macOS 平台的 Meta Muse AI Agent 被曝存在一处 0Day 漏洞。只要用户设备上已有恶意软件在当前账户权限下运行，攻击者就能借助该漏洞劫持 Muse 助手。
攻击者可以拦截用户语音输入的提示词，向 Muse 注入恶意指令；此外还能窃取用户的账户认证凭证。
该漏洞风险极高：一旦 Agent 被攻击者控制，就会继承用户授予 Muse 的全部高级权限，以及所有关联服务的访问权限。
安全研究员、Objective-See 创始人 Patrick Wardle 披露了该漏洞，并发布了名为 not-a-mused 的 PoC 利用工具。他在研究中发现，Muse 暴露了一个名为 endo_voyager_dictation_endpoint 的未公开配置项，本地无特权进程无需提升权限即可修改该配置。攻击者篡改该值后，就能把 Muse 的语音传输流量从原定目标重定向到自己控制的服务器。
一旦流量端点被篡改，攻击者就能在语音音频和提示词到达 Muse 后端之前将其截获，进而篡改发送给 Agent 的指令，还能获取受害者账户的关联认证数据。这也为 提示词注入 和会话劫持创造了条件，攻击者可借由受信任的 AI 工作流投递恶意命令或内容。
Part 01 漏洞可实现攻击权限放大
该漏洞并不能在未受感染的 Mac 上直接实现远程代码执行。攻击者必须先获得本地用户权限下的代码执行能力，常见途径包括常规恶意软件投递、社会工程诱导等。
但 Wardle 指出，这个缺陷本质上是权限放大器：受 macOS 隐私机制限制的普通恶意软件，可以把 Muse 作为攻击目标，利用 Agent 已获得的广泛权限实施作恶。
这也凸显出一类通用风险：当受信任的 Agent 在关联服务中拥有广泛的委托权限时，攻击者仅需拿到低权限立足点，就能造成极高危害。
Part 02 Muse 攻击可波及关联设备
Muse 持有的权限范围极大。Meta 公开资料显示，Muse 可以访问本地文件、应用和浏览器标签页，并对接邮箱与日历服务。
它还能自主访问网页、完成支付操作，甚至在后台持续执行任务。正常情况下，Muse 会针对敏感操作请求用户批准，并留存完整审计日志。
但一旦攻击者控制了它的可信命令通道，就可以随意滥用所有关联资源。
Wardle 发布的 PoC 仅覆盖 Muse 开放的 50 余种命令中的一小部分。已有公开演示显示，被攻破的 Muse 账户可以识别用户的关联设备，控制联网 iPhone 返回位置信息，或发起低功耗蓝牙扫描，将攻击影响范围从受感染的 Mac 延伸到其他设备。
Part 03 漏洞引发行业安全顾虑
这次漏洞披露也引发了外界普遍担忧：拥有高权限的 AI Agent 可能成为单点故障风险。Wardle 指出，由于所有命令都通过受信任的签名应用执行，端点检测工具很难区分某一操作的发起方究竟是用户、Agent 还是攻击者。
据报道，一位 Meta 前 AI 安全工程经理表示：“出于安全和隐私方面的顾虑，我不会使用 Muse。”
Meta 在宣传中将 Muse 定位为主打安全的个人 Agent，基于专用 Secure VM 构建，配备受保护的凭证存储机制，所有权限由用户自主控制。Meta 还运营着公开漏洞赏金计划，针对 Muse 的合格安全漏洞、或有实际危害的提示词注入报告，最高奖励可达 30 万美元。截至初始报道发布时，Meta 尚未对 Wardle 披露的具体漏洞细节作出公开回应。
在官方发布经过验证的修复补丁之前，Mac 用户应当将 Muse 视为高价值攻击目标。用户可以通过以下方式降低暴露风险：暂停运行该应用，检查并撤销不必要的权限和关联账户授权；若怀疑已遭入侵，及时更换认证凭证；日常注意监控 Agent 的异常活动。
企业也应当在受管 Mac 设备上限制使用未经批准的 AI Agent，并排查所有会修改 Muse 端点配置的异常进程。
参考来源：
Meta’s Muse AI Agent 0-Day Vulnerability Allows Attackers to Hijack the Tool and Inject Malware
https://cybersecuritynews.com/metas-muse-ai-agent-0-day-vulnerability/
发表于 1 小时前
|
查看: 5|
回复: 0
