Muse, el extraordinariamente privilegiado asistente de IA de Meta, tiene una grave vulnerabilidad cero día
ars ·
Se ha descubierto que el nuevo asistente de IA de Meta, Muse, contiene una grave vulnerabilidad de día cero que permite a las aplicaciones locales y los comandos del terminal secuestrar al agente. El experto en seguridad Patrick Wardle descubrió que la falla permite a los atacantes robar el token de autenticación redirigiendo los puntos finales de transcripción a servidores maliciosos. Esta explotación otorga control total sobre la cuenta de Muse del usuario, eludiendo las restricciones de seguridad de macOS a pesar de las afirmaciones de Meta sobre sus robustas medidas de privacidad. La vulnerabilidad surge de decisiones de diseño que permiten que cualquier aplicación instalada modifique configuraciones no documentadas, incluidas las ubicaciones de procesamiento de datos sensibles. Como respuesta a estas preocupaciones de seguridad, Amazon comenzó a bloquear a Muse en su plataforma, citando violaciones de sus condiciones de uso respecto a agentes de compra de terceros no autorizados. Wardle demostró que ataques simples estilo ClickFix pueden engañar a los usuarios para que ejecuten comandos que comprometen sus cuentas sin su conocimiento. El incidente plantea preguntas significativas sobre la priorización de la seguridad por parte de Meta durante el desarrollo de esta herramienta de IA altamente privilegiada.
ars