Уязвимости ИИ-агентов на практике: Muse от Meta превращался в шпиона за часы до патча

Уордл нашёл недокументированную настройку Muse, через которую любой код, уже работающий на компьютере жертвы, мог перенаправить облачную обработку речи с серверов Meta на сторонний сервер и получить доступ к аккаунту Muse.

Что именно обнаружил Уордл?

Muse обрабатывает голосовые команды не на самом устройстве, а в облаке, то есть отправляет аудио на серверы Meta. Уордл выяснил, что любое приложение на том же компьютере может изменить недокументированные настройки Muse и подменить адрес сервера.

После подмены вся голосовая транскрипция (расшифровка речи) уходит злоумышленнику. Но это только начало: получив доступ к аккаунту Muse, атакующий наследует привилегии самого ИИ-агента.

В демонстрационных атаках Уордл смог через Muse делать снимки с камеры и записывать вредоносные файлы на диск. Приложение при этом не предупреждало пользователя.

«Мы можем манипулировать агентом и использовать его привилегии, чтобы делать всё, что захотим. Вместо того чтобы писать полноценный вредоносный код для Mac, мы просто используем самого ИИ-ассистента.» : Патрик Уордл, исследователь безопасности

Почему уязвимости ИИ-агентов опасны именно сейчас?

Ключевая проблема не в конкретном баге, а в архитектурных решениях. Уордл указал на два из них:

• Облачная диктовка вместо локальной. Голос уходит на внешний сервер, а значит, появляется точка перехвата.
• Открытый доступ к настройкам. Любое приложение могло менять все параметры Muse, включая адрес сервера обработки.

Это контрастирует с тем, как сама Meta позиционировала Muse при анонсе: компания делала акцент именно на приватности и безопасности.

Meta отреагировала быстро. Дэвид Синглтон из Meta Superintelligence Labs написал в соцсети X, что уязвимость требовала уже работающего вредоносного кода на машине пользователя, поэтому практический риск был невысоким. Патч выпустили за несколько часов.

«Это была атака с локальной эскалацией привилегий, а не удалённый эксплойт. Практический риск для пользователей Muse на Mac был довольно низким. Тем не менее мы выпустили экстренное обновление.» : Дэвид Синглтон, Meta Superintelligence Labs

Параллельно Muse находится под давлением и с другой стороны: Amazon заблокировал агенту доступ к своей платформе электронной коммерции, заявив, что Meta не получала на это разрешения.

Что это значит для вас?

Авторам и копирайтерам. Если вы пользуетесь голосовыми ИИ-ассистентами для диктовки текстов, проверьте, где именно обрабатывается ваша речь. Облачная обработка удобна, но создаёт точку, через которую данные могут утечь. Muse пока недоступен в России, но принцип касается любого подобного инструмента.

Маркетологам и предпринимателям. ИИ-агенты получают доступ к почте, файлам, камере, действуют от вашего имени. Каждый такой агент расширяет поверхность атаки. Прежде чем подключать агента к рабочим аккаунтам, выясните: обрабатывает ли он данные локально, какие настройки доступны другим приложениям, есть ли журнал действий.

Пользователям в России и СНГ. Muse официально в российских магазинах пока отсутствует. Из доступных голосовых ассистентов с агентными функциями ближе всего Алиса от Яндекса и Маруся от VK. У них свои модели безопасности, но вопрос тот же: какие привилегии вы даёте агенту и кто ещё может ими воспользоваться.

Случай с Muse стоит запомнить не как курьёз, а как рабочий пример: чем больше прав вы даёте ИИ-агенту, тем ценнее он становится для атакующего, и проверять, что именно агент делает от вашего имени, теперь часть цифровой гигиены наравне с паролями.

По данным Ars Technica