Muse, l'assistente AI di Meta con privilegi straordinari, presenta una grave vulnerabilità zero-day
ars ·
Il nuovo assistente AI di Meta, Muse, è stato trovato affetto da una grave vulnerabilità zero-day che consente ad applicazioni locali e comandi del terminale di dirottare l'agente. L'esperto di sicurezza Patrick Wardle ha scoperto che la falla permette agli aggressori di rubare il token di autenticazione reindirizzando gli endpoint di trascrizione verso server malevoli. Questa exploit concede il controllo completo sull'account utente di Muse, aggirando le restrizioni di sicurezza di macOS nonostante le affermazioni di Meta riguardo alla robustezza delle sue misure di privacy. La vulnerabilità deriva da scelte progettuali che permettono a qualsiasi applicazione installata di modificare impostazioni non documentate, incluse quelle relative all'elaborazione di dati sensibili. In risposta a queste preoccupazioni per la sicurezza, Amazon ha iniziato a bloccare Muse dalla propria piattaforma, citando violazioni dei suoi termini d'uso riguardanti agenti di acquisto terzi non autorizzati. Wardle ha dimostrato che attacchi semplici di tipo ClickFix possono indurre gli utenti a eseguire comandi che compromettono i loro account senza il loro consenso. L'incidente solleva significative domande sulla priorità data alla sicurezza durante lo sviluppo di questo strumento AI altamente privilegiato.
ars