Muse, недавно запущенный персональный помощник на основе искусственного интеллекта (ИИ) от Meta, стал объектом уязвимости нулевого дня, обнаруженной всего через несколько недель после его выпуска. Эта уязвимость могла позволить злоумышленнику получить контроль над помощником на компьютере Mac и использовать присущие ему привилегии для выполнения действий в системе.
Обнаружение было сделано специалистом по безопасности macOS Патриком Уордлом, который выпустил предупреждение об этой проблеме. По словам исследователя, злоумышленник мог бы использовать разрешения, необходимые Muse для изменения настройки, связанной с системой голосовой транскрипции.
Обычно приложение отправляет транскрипцию на сервер, управляемый Meta. Однако из-за уязвимости адрес назначения мог быть заменен сервером, контролируемым злоумышленником. Это позволило бы получить токен, отвечающий за аутентификацию учетной записи Muse.
Имея этот токен, злоумышленнику не обязательно устанавливать вредоносное программное обеспечение для кражи данных. Вместо этого он мог бы напрямую захватить контроль над самим помощником, используя привилегии, которые Muse уже имеет на компьютере.
Одна из методологий, продемонстрированных Уордлом, включает вариант известной техники под названием ClickFix — метод социальной инженерии, используемый для убеждения пользователей выполнять команды на своих устройствах. В этом сценарии сервер, контролируемый злоумышленником, выступал бы посредником между Muse и сервером Meta. После того как пользователь предоставил голосовую команду, вредоносный сервер мог бы внедрить инструкцию, чтобы помощник выполнил вредоносное действие.
Например, Ars Technica упомянула возможность отправки файла, содержащего все сообщения WhatsApp, атакующему. Кроме того, токен аутентификации Muse был бы передан вредоносному серверу, обеспечивая злоумышленнику сохранение контроля над учетной записью помощника.
Уордл подчеркивает, что атака особенно тревожна, поскольку она использует сам агент ИИ, устраняя необходимость разработки специальной программы для сбора данных. Он заявил Ars Technica: «Мы можем манипулировать агентом и использовать его привилегии, чтобы делать все, что захотим».