ИИ-ассистент Meta Muse выпущен с серьезной уязвимостью безопасности
wired ·
Новый ИИ-ассистент Meta Muse был выпущен с критической уязвимостью нулевого дня, позволяющей локальным приложениям и терминальным командам получать полный контроль над учетными записями пользователей. Эксперт по безопасности Патрик Уордл обнаружил, что эта ошибка позволяет злоумышленникам манипулировать токенами аутентификации, изменяя конечную точку для транскрипции голоса с серверов Meta на свои собственные. Этот эксплойт эффективно обходил защиты безопасности macOS, позволяя злоумышленникам выполнять такие действия, как запись файлов или съемка фотографий, без обнаружения. Хотя Meta выпустила исправление примерно через двенадцать часов после раскрытия уязвимости, критики утверждают, что архитектурные решения приоритизировали функциональность в ущерб безопасности. Инцидент вызвал резкую критику со стороны Amazon, который начал блокировать Muse из-за опасений по поводу несанкционированного доступа третьих сторон к своей платформе. Уордл подчеркнул, что простота активации этого эксплойта с помощью методов социальной инженерии, таких как ClickFix, подрывает заявления Meta о надежной защите конфиденциальности. Таким образом, выпуск вызывает серьезные вопросы о безопасности и надежности ИИ-агентов, которым предоставляются широкие системные разрешения.
wired