Meta的Muse AI助手在发布时存在严重安全漏洞
wired ·
Meta推出的新AI助手Muse在发布时存在一个关键的零日漏洞,允许本地应用程序和终端命令完全控制用户账户。安全专家帕特里克·沃德尔(Patrick Wardle)发现,该漏洞使攻击者能够通过将语音转录的端点从Meta服务器更改为自己的服务器来操纵身份验证令牌。此利用方式有效绕过了macOS的安全防护,使恶意行为者能够在不被检测到的情况下执行写入文件或拍摄照片等任务。尽管Meta在漏洞披露后约12小时发布了热修复补丁,但批评人士认为其设计选择将功能置于安全之上。亚马逊因担忧未经授权的第3方访问其平台,已开始屏蔽Muse。沃德尔指出,通过ClickFix等社会工程学技术轻易触发此漏洞,削弱了Meta关于其隐私保护强有力的说法。因此,此次发布引发了对授予广泛系统权限的AI代理的安全性和可靠性的严重质疑。
wired