Meta的超级特权AI助手Muse存在严重零日漏洞
ars ·
Meta的新款AI助手Muse被发现存在一个严重的零日漏洞,允许本地应用程序和终端命令劫持该代理。安全专家帕特里克·沃德(Patrick Wardle)发现,该缺陷使攻击者能够通过将转录端点重定向到恶意服务器来窃取身份验证令牌。尽管Meta声称其隐私保护措施强大,但该漏洞仍能绕过macOS的安全限制,完全控制用户的Muse账户。这一漏洞源于设计选择,即允许任何已安装的应用程序修改未记录的设置,包括敏感数据处理位置。面对这些安全担忧,亚马逊开始在其平台上屏蔽Muse,理由是它违反了关于未经授权第三方购买代理的使用条款。沃德证明,简单的ClickFix式攻击可以诱骗用户在不知情的情况下执行损害其账户的命令。此事引发了人们对Meta在开发这款高度特权AI工具时对安全性的重视程度的重大质疑。
ars