L'assistente AI Muse di Meta lanciato con una grave falla di sicurezza
wired ·
Il nuovo assistente AI di Meta, Muse, è stato lanciato con una grave vulnerabilità zero-day che consente ad applicazioni locali e comandi del terminale di ottenere il controllo completo degli account utente. L'esperto di sicurezza Patrick Wardle ha scoperto che l'inconveniente permetteva agli aggressori di manipolare i token di autenticazione modificando l'endpoint per la trascrizione vocale dai server di Meta ai propri. Questa exploit ha aggirato efficacemente le difese di sicurezza di macOS, consentendo agli attori malintenzionati di eseguire attività come la scrittura di file o la cattura di foto senza essere rilevati. Sebbene Meta abbia rilasciato un hotfix circa dodici ore dopo la divulgazione della vulnerabilità, i critici sostengono che le scelte progettuali abbiano privilegiato la funzionalità rispetto alla sicurezza. L'incidente ha suscitato aspre critiche da parte di Amazon, che ha iniziato a bloccare Muse a causa delle preoccupazioni relative all'accesso non autorizzato di terze parti alla sua piattaforma. Wardle ha sottolineato che la facilità con cui innescare questa exploit tramite tecniche di ingegneria sociale come ClickFix mina le affermazioni di Meta riguardo alle robuste protezioni della privacy. Di conseguenza, il rilascio solleva seri dubbi sulla sicurezza e sull'affidabilità degli agenti AI a cui sono concesse ampie autorizzazioni di sistema.
wired