Meta-nın fövqəladə imtiyazlı AI köməkçisi Muse-da ciddi 0-day boşluğu var
Ars Technica-ya görə Meta-nın yeni Muse köməkçisində 0-day boşluğu aşkar edilib: yerli proqram və ya terminal əmri hesaba tam nəzarət əldə edə bilir. Amazon artıq Muse-u bloklayıb.
Meta-nın yeni AI köməkçisi Muse-da yerli işləyən istənilən proqrama və ya terminal əmrinə agentə tam nəzarət verən 0-day boşluğu aşkar edilib; bunu sentyabrın 21-də Ars Technica yazıb. Tapıntı Mark Zukerberqin Muse-un “sıfırdan məxfilik və təhlükəsizlik üçün qurulduğu” iddiasını şübhə altına alır.
Qeyri-adi geniş giriş imkanı
Meta Muse-u bir neçə həftə əvvəl təqdim edib. Şirkətin sözlərinə görə, o, görüşlər təyin edir, formaları doldurur, alış-veriş edir və sənədlər yaradır; macOS tətbiqi istifadəçinin WhatsApp, e-poçt, təqvim və sosial şəbəkə hesablarına qoşulur. İşləməsi üçün hər servisdə autentifikasiya, fayl, mikrofon, kamera və məkan üçün sistem icazələri tələb olunur — Apple-ın quraşdırılmış proqramlardan və terminal əmrlərindən adətən bağlı saxladığı girişlər.
Boşluğun mahiyyəti
Meta yerli icra olunan istənilən koda bu icazələrdən asılı olmayaraq sənədləşdirilməmiş parametrlərin uzun siyahısını dəyişməyə imkan verib. Onların çoxu zərərsizdir, məsələn qaranlıq rejim. Biri isə tamam başqa məsələdir: transkripsiyanın baş verdiyi ünvan. Normalda bu, Meta-nın idarə etdiyi serverdir. Ünvanı hücumçunun maşınına yönəltsəniz, Muse hesabını təsdiqləyən token də oraya düşür.
“Agentə təsir edib imtiyazlarını istədiyimiz kimi istifadə edə bilərik” deyir boşluğu tapan macOS təhlükəsizlik mütəxəssisi Patrik Vordl. “Hərtərəfli Mac oğrusu yazmaq əvəzinə, sadəcə AI köməkçisinin özündən istifadə edirik”. Onun konsept sübut hücumları diskə zərərli fayllar yazdı və ekran şəkilləri çəkdi, çox vaxt heç bir iz qoymadan. Meta nümayəndələri sualları cavablandırmayıb.
ClickFix kifayət edir
Vordl boşluğu iki dizayn qərarı ilə əlaqələndirir: Muse diktəni macOS-un təklif etdiyi cihazdaxili emal yerinə Meta-nın qeydə ala bildiyi buludda emal edir; həm də istənilən proqram bütün sənədləşdirilməmiş parametrləri dəyişə bilir. Onun sözlərinə görə, istifadəçiləri hücumçunun əmrlərini özləri işə salmağa inandıran ClickFix hücumunun sadə variantı kifayət edib. Təfərrüatları Vordl noyabrda Objective by the Sea konfransında təqdim edəcək.
Amazon Muse-u kəsdi
Təxminən 12 saat əvvəl Amazon öz saytında Muse vasitəsilə alış-verişi bloklayıb və onu “Amazon-un İstifadə Şərtlərini pozan icazəsiz AI agenti” adlandırıb, Meta-dan Amazon-un köməkçidən çıxarılmasını istəyib. Xəbər Meta-nın istifadəçi məlumatlarına qeyri-adi çıxışı olan köməkçinin dizaynını müdafiə edən iki yazısından sonra gəlir.
SiTech — AI ilə gücləndirilmiş veb hazırlanması
Sürətli və müasir saytlar qurur, AI-ı real biznes proseslərinə gətiririk. Layihəniz və ya sualınız var? Kömək etməyə hazırıq.