L'assistant IA Muse de Meta lancé avec une faille de sécurité majeure
wired ·
Le nouvel assistant IA de Meta, Muse, a été lancé avec une vulnérabilité critique de type zero-day permettant aux applications locales et aux commandes du terminal d'obtenir un contrôle total sur les comptes des utilisateurs. L'expert en sécurité Patrick Wardle a découvert que cette faille permettait aux attaquants de manipuler les jetons d'authentification en modifiant le point de terminaison de la transcription vocale, qui était initialement dirigé vers les serveurs de Meta, pour l'orienter vers leurs propres serveurs. Cette exploitation a contourné efficacement les défenses de sécurité de macOS, permettant aux acteurs malveillants d'exécuter des tâches telles que l'écriture de fichiers ou la capture de photos sans être détectés. Bien que Meta ait publié un correctif d'urgence environ douze heures après la divulgation de la vulnérabilité, des critiques soutiennent que les choix de conception ont privilégié la fonctionnalité au détriment de la sécurité. L'incident a suscité de vives critiques de la part d'Amazon, qui a commencé à bloquer Muse en raison de préoccupations liées à un accès non autorisé de tiers à sa plateforme. Wardle a souligné que la facilité avec laquelle cette exploitation peut être déclenchée via des techniques d'ingénierie sociale comme ClickFix remet en cause les affirmations de Meta concernant la robustesse de ses protections de la vie privée. Par conséquent, ce lancement soulève de sérieuses questions quant à la sécurité et à la fiabilité des agents IA auxquels sont accordées des permissions système étendues.
wired