Muse, Metas außerordentlich privilegierter KI-Assistent, hat eine schwere Zero-Day-Schwachstelle
ars ·
Metas neuer KI-Assistent Muse weist eine schwerwiegende Zero-Day-Schwachstelle auf, die es lokalen Anwendungen und Terminalbefehlen ermöglicht, den Agenten zu übernehmen. Der Sicherheitsforscher Patrick Wardle stellte fest, dass der Fehler Angreifern ermöglicht, das Authentifizierungstoken zu stehlen, indem Transkriptionsendpunkte auf bösartige Server umgeleitet werden. Dieser Exploit gewährt vollständige Kontrolle über das Muse-Konto des Nutzers und umgeht die macOS-Sicherheitsbeschränkungen, trotz Metas Behauptungen robuster Datenschutzmaßnahmen. Die Schwachstelle entsteht durch Designentscheidungen, die es jeder installierten App erlauben, undokumentierte Einstellungen zu ändern, einschließlich der Verarbeitung sensibler Daten. Als Reaktion auf diese Sicherheitsbedenken begann Amazon, Muse von seiner Plattform auszuschließen, da dies gegen die Nutzungsbedingungen bezüglich unbefugter Drittanbieter-Einkaufsagenten verstößt. Wardle demonstrierte, dass einfache ClickFix-Angriffe Nutzer dazu bringen können, Befehle auszuführen, die ihre Konten kompromittieren, ohne dass sie dies bemerken. Der Vorfall wirft erhebliche Fragen hinsichtlich der Priorisierung von Sicherheit bei Meta während der Entwicklung dieses hochprivilegierten KI-Tools auf.
ars