Muse, העוזר ה-AI בעל ההרשאות יוצאות הדופן של Meta, סובל מפרצת 0-day חמורה

בעוזר ה-AI החדש של Meta, ‏Muse, נמצאה פרצת 0-day שמעניקה לכל אפליקציה מקומית או פקודת טרמינל שליטה מלאה בסוכן, כך דיווחה Ars Technica ב-21 בספטמבר. הממצא מערער את הצהרתו של מארק צוקרברג שלפיה Muse „נבנה מהיסוד לפרטיות ואבטחה”.

עוזר עם גישה רחבה במיוחד

Meta הציגה את Muse לפני כמה שבועות. לדברי החברה הוא קובע פגישות, ממלא טפסים, מבצע רכישות ויוצר מסמכים; אפליקציית macOS מתחברת ל-WhatsApp, לדוא"ל, ליומן ולחשבונות הרשתות החברתיות של המשתמש. כדי לעבוד הוא מחייב אימות מול כל שירות והרשאות מערכת לכתיבת קבצים, למיקרופון, למצלמה, למיקום וליומנים — גישה שאפל חוסמת כברירת מחדל בפני אפליקציות מותקנות ופקודות טרמינל.

מהי הפרצה

Meta איפשרה לכל קוד שרץ מקומית לשנות רשימה ארוכה של הגדרות לא מתועדות, ללא תלות בהרשאות האלה. רובן תמימות, כמו מצב כהה. אחת קובעת את הכתובת שבה מתבצע התמלול — בדרך כלל שרת שמופעל בידי Meta. הפנייה שלה למחשב של התוקף מעבירה לשם גם את האסימון שמאמת את חשבון Muse.

„אנחנו יכולים לתמרן את הסוכן ולנצל את ההרשאות שלו כרצוננו”, אמר פטריק וורדל, מומחה אבטחת macOS שגילה את הפרצה. „במקום לכתוב גונב מידע מלא ל-Mac, אנחנו פשוט מנצלים את עוזר ה-AI עצמו”. תקיפות ההוכחה שלו כתבו קבצים זדוניים וצילמו תמונות, לעיתים בלי שייראו. נציגי Meta לא השיבו לשאלות.

מספיק ClickFix

וורדל מייחס את הפרצה לשתי החלטות: Muse מתמלל הכתבה בענן, שם Meta יכולה לתעד אותה, ולא במכשיר כפי ש-macOS מאפשרת; וכל אפליקציה רשאית לשנות כל הגדרה לא מתועדת. לדבריו, די היה בווריאציה פשוטה של תקיפת ClickFix — טכניקה שמשכנעת משתמשים להריץ בעצמם פקודות של התוקף. וורדל יציג את הפרטים בנובמבר בכנס Objective by the Sea.

אמזון קטעה את Muse

כ-12 שעות קודם לכן חסמה אמזון שימוש ב-Muse לקנייה באתר שלה, וקראה לו „סוכן AI לא מורשה שמפר את תנאי השימוש של אמזון”, וביקשה מ-Meta להסיר את אמזון מהעוזר. הדיווח מגיע אחרי שני פרסומים של Meta שהגנו על התכנון של עוזר עם גישה בלתי שגרתית לנתוני משתמשים.