O assistente de IA Muse da Meta foi lançado com uma grave falha de segurança
wired ·
O novo assistente de IA da Meta, Muse, foi lançado com uma vulnerabilidade crítica zero-day que permite que aplicativos locais e comandos do terminal obtenham controle total sobre as contas dos usuários. O especialista em segurança Patrick Wardle descobriu que a falha permitia aos atacantes manipular tokens de autenticação alterando o endpoint para transcrição de voz, redirecionando-o dos servidores da Meta para os seus próprios. Essa exploração contornou efetivamente as defesas de segurança do macOS, permitindo que agentes maliciosos executassem tarefas como escrever arquivos ou capturar fotos sem serem detectados. Embora a Meta tenha emitido um hotfix aproximadamente doze horas após a divulgação da vulnerabilidade, críticos argumentam que as escolhas de design priorizaram a funcionalidade em detrimento da segurança. O incidente gerou fortes críticas da Amazon, que começou a bloquear o Muse devido a preocupações sobre acesso não autorizado de terceiros à sua plataforma. Wardle destacou que a facilidade de acionar essa exploração por meio de técnicas de engenharia social, como o ClickFix, mina as alegações da Meta sobre proteções robustas de privacidade. Consequentemente, o lançamento levanta sérias questões sobre a segurança e a confiabilidade de agentes de IA concedidos amplos permissões de sistema.
wired