Muse, o assistente de IA extra-privilegiado da Meta, tem uma grave falha zero-day
ars ·
O novo assistente de IA da Meta, o Muse, apresentou uma vulnerabilidade crítica do tipo zero-day que permite que aplicativos locais e comandos do terminal sequestrarem o agente. O especialista em segurança Patrick Wardle descobriu que a falha possibilita que atacantes roubem o token de autenticação ao redirecionar os endpoints de transcrição para servidores maliciosos. Essa exploração concede controle total sobre a conta do usuário no Muse, contornando as restrições de segurança do macOS, apesar das afirmações da Meta sobre suas robustas medidas de privacidade. A vulnerabilidade surge de escolhas de design que permitem que qualquer aplicativo instalado modifique configurações não documentadas, incluindo locais de processamento de dados sensíveis. Em resposta a essas preocupações de segurança, a Amazon começou a bloquear o Muse em sua plataforma, citando violações de seus termos de uso relacionados a agentes de compra de terceiros não autorizados. Wardle demonstrou que ataques simples do estilo ClickFix podem enganar os usuários para executar comandos que comprometem suas contas sem seu conhecimento. O incidente levanta questões significativas sobre a priorização da segurança pela Meta durante o desenvolvimento desta ferramenta de IA altamente privilegiada.
ars