Meta修复可控制AI代理的Muse漏洞——The Verge
Meta在发现一个可能让攻击者控制AI代理的零日漏洞后，发布了macOS版Muse应用更新。正如The Verge报道，利用该漏洞需要对用户设备进行本地访问，但它可能会打开对Muse账户的访问权限。
该漏洞如何运作
网络安全研究员帕特里克·沃德尔发现，该问题与Muse的一项未公开设置有关。它允许已在计算机上本地执行代码的程序，将转录处理从Meta服务器重定向至攻击者控制的端点。这可能会让潜在攻击者获得对Muse账户的访问权限。
据该媒体报道，应用设计的几个特点促成了该漏洞的出现：Muse中的语音听写在云端处理，且任何程序都可以控制Muse的所有未公开设置。
更多最新消息请关注 UA.News Telegram 频道 Telegram.
攻击演示与Meta的回应
在测试期间，沃德尔创建了演示性攻击，这些攻击能够通过Muse拍摄照片并将恶意文件写入磁盘。在许多情况下，该应用不会就此类操作向用户发出警告。
沃德尔向Ars Technica表示，攻击者可以操纵该代理并利用其权限执行各种操作，而无需为macOS单独创建复杂的恶意软件。Meta在Ars Technica文章发布后数小时内修复了该问题。该公司表示，这涉及本地权限提升，而非远程攻击，因此Meta评估实际安全风险极低。
