Meta Muse kan kapres af enhver lokal app

01Enhver app kan stjæle din Muse-token

Den nye AI-assistent Muse fra Meta kan kapres af enhver app på brugerens Mac. Det viser et zero-day fundet af macOS-sikkerhedseksperten Patrick Wardle. Et zero-day er en sikkerhedsfejl, som producenten endnu ikke kender.

Fejlen lader enhver lokalt installeret app eller terminalkommando få fat i det token, som autentificerer brugeren over for Muse. Tokenet fungerer som en permanent adgangsnøgle til kontoen. Meta har designet Muse, så enhver app uanset macOS-tilladelser kan ændre en række uudokumenterede indstillinger.

»Vi kan manipulere assistenten og bruge dens privilegier til at gøre, hvad vi vil,« siger Wardle.

02Omdirigering af stemmeafskrivning åbner bagsdøren

Angrebet udnytter en specifik indstilling: hvor stemmeoptagelser behandles. Normalt sker det på en Meta-server. Hvis en angriber omdirigerer indstillingen til sin egen server, modtager den automatisk tokenet.

Wardle har bygget flere proof-of-concept-angreb, der blandt andet skriver ondsindede filer til disken og tager billeder – ofte uden nogen advarsel til brugeren.

Et af angrebene bruger en proxy-server mellem bruger og Meta. Efter brugerens stemmekommando tilføjer angriberens server sit eget kommando-opkald, for eksempel om at sende alle WhatsApp-beskeder videre. Tokenet sendes med automatisk.

03Cloud-diktat gjorde angrebet muligt

Wardle peger på to designvalg, der muliggjorde fejlen. For det første kører Muse-diktat i skyen, hvor Meta kan logge det. macOS har længe haft en indbygget måde at transskribere på enheden selv – den havde gjort angrebet umuligt.

For det andet kan enhver app styre alle de uudokumenterede indstillinger. Meta mente sandsynligvis, at apps skulle kontrollere brugerflade-indstillinger, men at kontrollere en serveradresse for talebehandling er en helt anden sag.

Meta har udgivet to blogindlæg på to uger om Muse' sikkerhed. Mark Zuckerberg har kaldt assistenten »bygget fra bunden til privatliv og sikkerhed.«

»Man kan jo se, at de ikke, efter min mening, har tænkt på sikkerhed, hvilket er rigtig bekymrende,« siger Wardle.

04Amazon blokerede Muse før afsløringen

Cirka 12 timer før Wardle offentliggjorde zero-day'en begyndte Amazon at blokere brugere i at handle via Muse på sin hjemmeside. Brugere mødte en besked om, at Muse var en »uautoriseret AI-agent, der overtræder Amazons brugsbetingelser."

Amazon mener, at tredjepartsapps, der køber ind på vegne af kunder, skal fungere åbent og respektere forhandleres valg om deltagelse. Virksomheden har bedt Meta fjerne Amazon fra oplevelsen.

05Wardle slipper for at skrive malware

Wardle er skaberen af den non-profit organisation Objective-See Foundation, forfatter til bogen-serien »The Art of Mac Malware« og tidligere ansat hos NASA og NSA.

Hans proof-of-concept viser, at en angriber ikke behøver at udvikle omfattende Mac-malware. I stedet kan angriberen bruge selve Muse til at gøre arbejdet. Wardle præsenterer sårbarheden på sikkerhedskonferencen Objective by the Sea i november.

Den gængse indvending – at alle sikkerhedsbånd springer, når en enhed allerede er kompromitteret – rammer ikke her, vurderer Ars Technica.