Компания Meta выпустила обновление безопасности для приложения Muse на macOS после обнаружения уязвимости нулевого дня. Исследователь Патрик Уордл выяснил, что ошибка позволяла злоумышленникам, имеющим доступ к локальному коду, перенаправлять процесс транскрипции с серверов Meta на сторонние узлы, получая контроль над учетной записью пользователя.
Проблема возникла из-за архитектурных решений, включая облачную обработку диктовки и возможность сторонних приложений изменять недокументированные настройки Muse. Уордл доказал, что через этот эксплойт можно делать снимки и записывать вредоносные файлы на диск без уведомления пользователя, используя привилегии ИИ-агента.
Meta устранила уязвимость с помощью хотфикса вскоре после публикации отчета. Дэвид Синглтон из Meta Superintelligence Labs заявил, что риск был низким, так как атака требовала локального доступа к устройству, а не удаленного исполнения. В компании подчеркнули, что это была атака на повышение локальных привилегий.
Инцидент произошел на фоне повышенного внимания к Muse. Ранее Amazon заблокировала доступ агента к своей платформе, заявив об отсутствии разрешения. Несмотря на это, за первые 12 дней мобильное приложение Muse по количеству загрузок в США и Канаде обошло показатели дебюта ChatGPT, а акции Meta выросли на 11 процентов в понедельник.
