Muse, Meta's extraordinarily privileged AI assistant, has a serious 0-day

Muse，Meta 极度特权的 AI 助手，存在严重零日漏洞 - Ars Technica

SWEET MUSE

Muse，Meta 极度特权的 AI 助手，存在严重零日漏洞

一次简单的 ClickFix 攻击就足以完全劫持这个新代理。

Dan Goodin

–

2026 年 9 月 21 日 下午 6:24

|

132

图片来源：Getty Images

Button

文本设置

面板

故事文本

大小

小号

标准

大号

宽度

*

宽屏

链接

橙色

• 仅限订阅者

了解更多

最小化到导航栏

Meta 创始人兼 CEO 马克·扎克伯格不遗余力地宣传其新 AI 助手 Muse 的安全性，声称该助手是“从零开始构建，注重隐私和安全”。一个允许本地运行的应用和终端命令完全控制代理的零日漏洞引发了严重质疑。更令人担忧的是，亚马逊于周日开始阻止 Muse 访问其网站。

Meta 几周前推出了 Muse。这个助手可以“预约会议、填写表格和处理客户服务”，“主动帮你处理任务”，并能“进行购买、生成图像、创建文档以及连接你最喜欢的 App 和服务”。macOS 应用（奇怪的是，没有 Windows 版本）还能与用户的 WhatsApp、电子邮件、日历和社交媒体账户配合使用。当任务需要的工具不存在时，Muse 会即时创建一个。

Meta 对 Muse 的安全性宣传过度

当然，Muse 要完成这些任务，用户必须首先授予其访问账户的权限。这包括将助手认证到每个服务，并且由于该应用运行在 macOS 上，还需要授予其访问操作系统限制的设备资源的权限，例如将文件写入磁盘、访问麦克风和摄像头以及监控位置和日历。苹果公司多年来一直在开发这些防御措施，以防止已安装的应用或终端输入的命令访问这些资源，显然因为该公司认为这些资源存在安全威胁。Muse 完全推翻了这些默认防护措施。

该零日漏洞允许任何应用或终端命令访问用于将用户认证到 Muse 账户的令牌。Meta 开发者设计了这个助手，使得任何本地安装的应用或执行的代码（无论其 macOS 权限如何），都可以更改一系列未公开的设置。其中大多数都相对无害，例如控制深色模式。但有一个设置却极其危险。它允许进程更改转录发生的端点。通常，这个端点是 Meta 运营的服务器地址。攻击者可以利用这一漏洞，将端点更改为自己的服务器。一旦发生这种情况，攻击者就能获得用于完全控制 Muse 账户的令牌。

“我们可以操控这个代理，并利用其权限做任何我们想做的事情，”发现该零日漏洞的 macOS 安全专家帕特里克·沃德勒对 Ars 说道。“因此，我们不需要编写一个非常全面的 Mac 间谍软件，只需利用 AI 助手本身即可。”沃德勒表示，他已经开发了多种概念验证攻击，可以执行诸如将恶意文件写入磁盘或拍摄照片等操作，很多时候甚至不会给警觉的用户任何提示。

在本文发布超过 12 小时后，Meta 表示已发布热修复补丁，修复了该零日漏洞。

Meta 在短短两周内发布了两篇文章，详细阐述了在确保拥有如此广泛用户数据和资源访问权限的助理安全性和隐私性方面所做出的设计决策。这些文章的发布正值有关 Anthropic 和 Google 模型内部测试导致第三方网络安全漏洞的披露，而这些安全漏洞并非相关工程师有意针对。在传统的人类黑客攻击中，此类行为可能会导致刑事指控。Meta 的文章显然意识到了由此引发的反弹以及要求放缓人工智能开发的呼声。

Wardle 表示，Meta 开发者做出的几个设计决策使得他的攻击成为可能。其中之一是选择将 Muse 语音输入功能部署在云端，而 Meta 可以记录这些输入。macOS 早已提供了一种简单的方法，让应用程序在设备本地安全处理语音输入和转录过程。如果开发者选择这种更安全的方案，此次攻击就不可能发生。

另一个设计缺陷是允许任何应用程序控制所有未记录的设置。Meta 可能原本希望与 Muse 配合的应用程序能够控制 UI 设置，这有其合理的原因。但任何应用程序或命令都能控制处理敏感用户语音的端点，这完全是另一回事。这些设计决策引发了对开发者在设计和测试新助理安全性和隐私性方面投入了多少努力的质疑。

“在我看来，这些应用程序的安全性标准应该高得多，”Wardle 表示，“它们不必完美，但就 Muse 来说，我认为他们根本没有考虑过安全性，这真的令人担忧。”他补充道：“至少，他们应该从一开始就考虑安全性，但他们显然没有这么做。”

在 Wardle 披露零日漏洞约 12 小时前，亚马逊开始阻止用户使用 Muse 在其网站上购物。尝试使用该功能的用户收到一条消息，称 Muse 是“未经授权的 AI 代理，违反了亚马逊的使用条款”。

亚马逊在一封电子邮件声明中表示：“我们认为，第三方应用程序如果声称代表客户从其他企业购买商品，应公开运营并尊重服务提供商关于是否参与的决定。”该声明补充称：“这有助于确保客户获得安全、可靠和一致的体验，这也是其他服务的运营方式，例如食品配送应用及其合作餐厅、配送服务应用及其合作商店、在线旅行社及其合作航空公司。”亚马逊要求 Meta 将亚马逊从 Muse 的体验中移除，并表示像 Muse 这样的代理第三方应用程序同样负有这些责任。

一次 ClickFix 就足以实现攻击

攻击可以通过多种方式实施。其中一种方式是攻击者的服务器充当代理，位于 Muse 用户和 Meta 服务器端点之间。一旦用户输入语音提示，攻击者的服务器会添加一个触发恶意命令的提示，例如将所有 WhatsApp 消息的存档发送给攻击者。一旦发生这种情况，攻击者将永久控制 Muse 账户，因为令牌也会自动发送到恶意服务器。

Wardle 是 Objective-See 基金会的联合创始人，这是一个专注于 macOS 安全的非营利组织。他也是《Mac 恶意软件艺术》系列书籍的作者，曾就职于美国国家航空航天局（NASA）和国家安全局（NSA）。Wardle 表示，他计划在 11 月的 Objective by the Sea 安全会议上详细讨论该漏洞及其他 AI 助手的潜在威胁。

一些开发人员提出反驳意见，认为一旦设备被入侵，所有安全措施都将失效。这种标准在此情况下并不适用。Wardle 发现，只需对 ClickFix 攻击（一种已被证明非常有效的欺骗用户感染设备的技术）进行简单变体，攻击者即可完全控制 Muse 账户。

图片来源：Patrick Wardle 图片来源：Patrick Wardle

在上方第一张图片中，Wardle 正使用简单的终端命令向 Meta 服务器端点秘密发送提示信息。第二张图片展示了响应结果。为防止攻击者在实时攻击中复制粘贴提示信息，Wardle 的提示仅询问“为何提示信息会来自一个无特权攻击者”。Muse 错误地回应称此类操作不可能实现。

Meta 在 12 小时后发布的声明巧妙地忽略了 ClickFix 攻击在触发漏洞方面的便捷性，而我曾特别要求公司对此进行说明。Meta 的声明称该零日漏洞“不是远程攻击”，尽管一种日益有效的社会工程骗局已能产生相同效果。Meta 也未承认该漏洞破坏了苹果公司多年来构建的安全架构。截至目前，Meta 尚未解释为何选择基于云端的语音转录功能，而非 macOS 内置的本地处理方案。

如前所述，Muse 为实现其功能所需的特殊访问权限，给其设计者带来了额外负担。与大多数此类 AI 代理一样（与 Meta 的说法相反），Muse 并不可信。目前尚不清楚它是否能、或何时能获得信任。

更新内容：新增 Meta 评论

高级安全编辑

Dan Goodin 是 Ars Technica 的高级安全编辑，负责监督恶意软件、计算机间谍活动、僵尸网络、硬件黑客攻击、加密和密码等领域的报道。在工作之余，他喜欢园艺、烹饪以及关注独立音乐场景。Dan 的办公地点在旧金山。您可以通过以下链接关注他：

此处 在 Mastodon 上 在 Bluesky 上

您可以通过 Signal 与他联系，联系方式为 DanArs.82。

132 条评论