一个隐藏的 Meta Muse 设置可能让攻击者将 AI 助手变成后门

安全研究员 Patrick Wardle 在 9 月 21 日发布的概念验证中展示：已经运行在 Mac 上的恶意软件可以悄悄接管 Meta 的 Muse 助手，并利用应用所有者授予该应用的广泛权限。

其原理是修改一个隐藏设置，使用户点击麦克风并口述提示词时，这些词语会发送给攻击者而非 Meta。

该缺陷存在于 Mac 版 Muse 中，且仅在攻击者已经能以登录用户身份运行代码时才能起作用。它本身无法攻破一台 Mac。但 Wardle 告诉 The Hacker News，远程攻击者可以通过 ClickFix 伎俩劫持 Muse 并窃取其令牌，该伎俩诱骗用户运行单条命令，无需下载或安装任何东西。

Muse 是 Meta 本月在美国推出的个人 AI 代理。用户一旦启用，它可以跨其文件、电子邮件、消息、日历、购物和智能家居应用工作，使用用户选择授予它的任何权限。

Wardle 表示，这种权限正是关键所在。他敦促人们不要安装 Muse，称 "将 Muse 变成终极后门轻而易举"。

macOS 通常会阻止一个应用访问另一个应用的文件、麦克风、摄像头或保存的登录信息，因此普通恶意软件的访问能力是有限的。而能够悄悄操控 Muse 的攻击者则可以获得用户允许该应用做的一切。

Wardle 还警告说，安全软件可能不会察觉，因为命令来自 Muse——一个正常签名的应用——而不是来自看似恶意软件的东西。

他发现的这个设置未被公开记录，它决定 Muse 将口述内容发送到哪里。它存储在 Mac 应用的偏好设置中，名为 endo_voyager_dictation_endpoint，任何以登录用户身份运行的程序都可以将其指向攻击者控制的地址，无需额外权限。

此后，口述内容不再发送给 Meta。当用户说出提示词时，音频和文本会发送到攻击者在同一台 Mac 上运行的一个小程序。

Wardle 展示了攻击者由此可以做的三件事：读取用户口述的内容、添加 Muse 会信任并执行的额外指令，以及捕获一个用于登录用户 Muse 账户的令牌，然后用它读取该账户的聊天历史并直接控制该助手。

Wardle 说，由于一个 Muse 账户可以在多台设备上登录，持有该令牌的攻击者可以命令任何一台设备上的 Muse，而不只是这台 Mac。他用它指挥自己 iPhone 上的 Muse 应用报告其确切位置、对附近设备进行蓝牙扫描，并列出它可以发送的智能家居命令。在他的测试中，该助手只会起草消息，而不会自行发送。

Wardle 还指出了该攻击做不到的事。它无法攻破 macOS 中阻止一个应用读取另一个应用已保存密码和令牌的机制。Muse 会将其令牌连同被重定向的口述内容一起发送，而攻击起作用的原理是让 Muse 以其已有权限行事。它也不能证明 Meta 为将每个用户的代理相互隔离而构建的云系统被攻破。

Wardle 表示，他在公开之前没有向 Meta 报告该缺陷。他选择完全公开，以便用户了解风险，并因为这通常是让此类漏洞最快得到修复的方式。

他表示，Meta 此后已推送了他所称的一个 "修复"，并指向 X 上的一篇帖子。The Hacker News 无法确认该改动的作用，并已联系 Meta 征求评论。Meta 尚未发布安全公告。

Mac 用户现在可以做什么

在 Meta 确认修复之前，Mac 用户可以限制暴露：

• 退出 Muse，或将其移除。
• 检查 Muse 持有的应用和权限，撤销任何它不需要的权限，以减少攻击者可访问的内容。
• 如果 Mac 可能已被入侵，应将 Muse 账户及其关联账户视为已暴露，并更改其密码。
• 由于该攻击需要用户口述，请避免使用 Muse 的语音输入，这会关闭所演示的确切路径。
• 不要运行网站或消息让你粘贴到 Terminal 的命令，这正是 ClickFix 攻击的起手式。

Meta 对 Muse 的安全投入了大量心思。它将该代理构建为在一个单独的云系统中运行，使每个用户的数据与其他用户隔离，并设有一个检查层用于批准 Muse 采取的行动。该缺陷存在于 Mac 应用中，而非那一云设计中。

Wardle 认为，Meta 自己制造了这个薄弱点：它构建了自己的一套将音频发送到设备之外处理的口述方式，而不是使用在 Mac 上运行的 Apple 口述。

他表示，他还在其他 AI 助手中发现了更多漏洞，包括一些使用范围广泛得多的应用，他已向厂商报告，并计划于 11 月在夏威夷举行的 Objective by the Sea 大会上发表。