У сверхпривилегированного ИИ-ассистента Meta Muse обнаружена серьезная уязвимость нулевого дня
ars ·
Новый ИИ-ассистент Meta Muse обнаружил серьезную уязвимость нулевого дня, позволяющую локальным приложениям и терминальным командам перехватывать управление агентом. Эксперт по безопасности Патрик Уордл выявил, что эта ошибка позволяет злоумышленникам красть токены аутентификации путем перенаправления конечных точек транскрипции на вредоносные серверы. Данный эксплойт предоставляет полный контроль над учетной записью пользователя Muse, обходя ограничения безопасности macOS, несмотря на заявления Meta о надежных мерах конфиденциальности. Уязвимость возникает из-за решений в архитектуре, позволяющих любому установленному приложению изменять недокументированные настройки, включая места обработки чувствительных данных. В ответ на эти проблемы безопасности Amazon начал блокировать Muse на своей платформе, сославшись на нарушение условий использования, касающихся несанкционированных сторонних агентов для покупок. Уордл продемонстрировал, что простые атаки в стиле ClickFix могут обмануть пользователей, заставив их выполнить команды, компрометирующие их учетные записи, без их ведома. Этот инцидент вызывает серьезные вопросы о приоритизации безопасности со стороны Meta при разработке этого высокопривилегированного ИИ-инструмента.
ars