Meta Muse被曝未修复零日漏洞，语音听写流量可被劫持

安全研究员、Objective-See基金会创始人Patrick Wardle披露，Meta新发布的Muse macOS桌面客户端存在尚未修复的零日漏洞。Meta首席执行官马克·扎克伯格曾称该自主式AI助手从设计之初便以隐私和安全为基础，但该漏洞可使本地运行的软件或Shell命令劫持应用，让非特权软件借用用户授予助手的广泛权限，绕过macOS标准安全边界。由于Meta未发布正式安全公告，也未与CVE编号授权机构协调，该漏洞目前没有正式CVE编号。

漏洞源于未公开配置首选项键endo_voyager_dictation_endpoint。在macOS上，以非特权用户身份运行的本地进程和任意脚本无需管理员权限、也不会触发系统授权提示，即可覆盖该配置值。该参数正常用于指定接收语音听写音频并返回转录结果的云端服务器端点，攻击者修改后可将听写流量静默重定向至其控制的服务器，进而窃取音频与会话令牌，并实施提示词注入以执行越权操作。

Wardle指出，macOS依靠“透明度、同意与控制”（TCC）框架限制应用访问硬件外设、文件、通讯录和日历，而Muse作为能与应用、日历、邮件和文件交互的智能体，通常被授予广泛系统权限。该漏洞使攻击者无需开发复杂的信息窃取恶意软件，只需操纵这一经过签名、受信任的助手，就能将其变为攻击面。一名前Meta AI安全工程经理也表达了类似担忧，称因深度集成固有风险，自己不会使用这款软件。

Wardle发布了名为not-a-mused的概念验证漏洞利用程序，演示通过遭入侵的智能体执行大量命令。此次披露发生在亚马逊以不符合自动化智能体访问政策为由禁止Muse访问其购物平台后不久。漏洞公开后，Meta为macOS版Muse部署热修复，从生产客户端构建中移除该内部调试首选项设置，阻止本地修改听写服务器目标地址。

Meta将该漏洞视为内部配置缺陷，未走正式CVE分配流程。Meta超级智能实验室的David Singleton称其为需要事先具备代码执行能力的本地配置问题，工程团队已通过移除内部调试首选项键解决。但安全社区并不认同，指出利用ClickFix等社会工程诱饵即可轻易获得初始访问权限，而绕过TCC框架历来复杂。