Muse, l'assistant IA hautement privilégié de Meta présente une vulnérabilité critique de type zéro jour
ars ·
Le nouvel assistant IA de Meta, Muse, s'est révélé vulnérable à une grave faille de sécurité de type zero-day qui permet aux applications locales et aux commandes du terminal de détourner l'agent. L'expert en sécurité Patrick Wardle a découvert que cette faille permet aux attaquants de voler le jeton d'authentification en redirigeant les points de terminaison de transcription vers des serveurs malveillants. Cette exploitation offre un contrôle total sur le compte Muse de l'utilisateur, contournant les restrictions de sécurité de macOS malgré les affirmations de Meta concernant la robustesse de ses mesures de confidentialité. La vulnérabilité découle de choix de conception qui permettent à toute application installée de modifier des paramètres non documentés, y compris les emplacements de traitement des données sensibles. En réponse à ces préoccupations sécuritaires, Amazon a commencé à bloquer Muse de sa plateforme, invoquant des violations de ses conditions d'utilisation relatives aux agents d'achat tiers non autorisés. Wardle a démontré que des attaques simples de style ClickFix peuvent tromper les utilisateurs pour qu'ils exécutent des commandes compromettant leurs comptes à leur insu. Cet incident soulève des questions importantes sur la priorité accordée par Meta à la sécurité lors du développement de cet outil d'IA hautement privilégié.
ars