Skrivena postavka Muse na Macu otvara put zloupotrebi AI agenta
Promena lokalne postavke može preusmeriti Muse diktiranje
Istraživač bezbednosti Patrick Wardle demonstrirao je propust u Mac verziji Meta Muse asistenta: zlonamerni program koji već radi sa ovlašćenjima prijavljenog korisnika može izmeniti skrivenu postavku i preusmeriti glasovne upite. U demonstraciji objavljenoj 21. septembra, ključna je vrednost endo_voyager_dictation_endpoint, koja određuje odredište diktiranja.
Muse je Meta pokrenula u Sjedinjenim Državama kao ličnog AI agenta koji, uz dozvole korisnika, može raditi sa datotekama, e-poštom, porukama, kalendarom, kupovinom i aplikacijama za pametni dom. Upravo širok skup odobrenja čini lokalnu zloupotrebu značajnom.
Napad zahteva prethodni pristup Macu
Ovaj propust nije metod za udaljeni upad u Mac. Napadač najpre mora moći da pokrene kod pod nalogom prijavljenog korisnika. Zatim bilo koji program sa tim nivoom pristupa može promeniti nedokumentovanu postavku bez dodatnih dozvola i usmeriti diktiranje na adresu pod kontrolom napadača.
Kada korisnik aktivira mikrofon i izgovori zahtev, zvuk i tekst mogu završiti u lokalnom programu napadača umesto kod Mete. Wardle je pokazao tri posledice: čitanje izgovorenog sadržaja, dodavanje instrukcija kojima Muse veruje i preuzimanje tokena Muse sesije radi neposrednog upravljanja asistentom.
Sesija i dodeljene dozvole postaju važniji od samog procesa
U testu je ukradena sesija korišćena za upravljanje Muse aplikacijom na iPhone uređaju: asistent je prijavio preciznu lokaciju, pokrenuo Bluetooth skeniranje okolnih uređaja i izlistao dostupne komande za pametni dom. Muse je u tom testu samo sastavljao poruke, a ne slao ih samostalno.
Napad ne zaobilazi macOS zaštitu koja sprečava aplikacije da čitaju sačuvane lozinke drugih aplikacija. Umesto krađe uskladištenih prijavnih podataka, Muse se navodi da radi sa ovlašćenjima koja već poseduje. Wardle takođe nije pokazao kompromitovanje Metinog cloud sistema koji razdvaja podatke korisnika; problem je u Mac aplikaciji i njenom načinu obrade diktiranja.
Ograničavanje izloženosti do zakrpe
Kako zakrpa nije dostupna, korisnici mogu ugasiti ili ukloniti Muse, pregledati i opozvati dozvole koje nisu neophodne, kao i izbegavati glasovni unos, jer upravo on zatvara prikazani vektor napada. Ako postoji sumnja da je Mac već kompromitovan, povezane naloge treba smatrati izloženim i promeniti njihove lozinke.
Za poslovanje je praktičan zaključak jasan: AI agentima treba dodeliti najmanji skup neophodnih pristupa, redovno proveravati lokalne klijente i tretirati aktivne sesije kao osetljivu imovinu, naročito kada agent povezuje podatke, komunikaciju i uređaje.