Meta 修复 Muse 漏洞，该漏洞曾允许攻击者控制 AI 代理
“他们应该从一开始就考虑安全问题，但他们没有。”
本文作者的文章将添加到您的每日邮件摘要和主页信息流中。
查看 Jess Weatherbed 的所有文章
本文作者的文章将添加到您的每日邮件摘要和主页信息流中。
查看 Jess Weatherbed 的所有文章
在发现一个零日漏洞后，Meta 已为旗下 Muse macOS 应用发布补丁。该漏洞可能允许他人控制这个 AI 代理。据 Ars Technica 报道，安全研究员 Patrick Wardle 发现的这个漏洞利用了一项未公开的 Muse 设置，使能够在本地运行代码的潜在攻击者可以把转录处理从 Meta 的服务器重定向到自己的端点，从而获得该 Muse 账户的访问权限。
据报道，几个设计决策共同造成了这个漏洞：Muse 的听写功能在云端进行而非设备本地，以及允许任何应用控制 Muse 所有未公开的设置。Wardle 为测试该漏洞开发的概念验证攻击，能让他通过 Muse 拍照、向磁盘写入恶意文件，而且在很多情况下 Muse 不会提醒用户。
“我们可以操纵这个代理，利用它的权限为所欲为。所以我们不必写一个非常全面的 Mac 恶意软件窃取器，直接利用 AI 助手本身就行。”Wardle 对 ArsTechnica 说，“至少，他们应该从最开始就考虑安全问题，而他们显然没有。”
这与 Meta 本月早些时候发布该 AI 代理时对 Muse 隐私和安全功能的强调形成反差。在 Ars 的报道发布后数小时内，Meta 就修补了该漏洞，并声称现实世界中的安全担忧很小，因为利用该漏洞需要本地访问用户设备。
“这是一次本地提权攻击，而非远程利用。因此，要用它造成伤害，需要恶意代码已经在用户账户下运行在该用户机器上，Muse Mac 应用对用户的实际风险因此相当低。”Meta Superintelligence Labs 的 David Singleton 在 X 上说，“尽管如此，我们已经为该应用发布了热修复来解决问题。”
虽然 Muse 漏洞被迅速处理，但此事发生时，Meta 的 AI 代理本就受到审视，因为该公司正试图从竞争对手 AI 提供商那里夺回失地。亚马逊最近阻止 Muse 访问其电商平台，并声称 Meta 从未获得其许可。尽管如此，Muse 的发布对 Meta 来说是成功的——在最初 12 天里，Muse 移动应用在美国和加拿大的估计下载量据报道超过了 ChatGPT 自己在美国和加拿大上线头 12 天的表现，Meta 股价周一上涨了 11%。
更多内容：关于 Meta 可爱又诡异的 Muse AI 代理的所有最新消息
最受欢迎
-
这就是为什么 iPhone Duo 的铰链可能压裂屏幕
-
Apple 为 MacBook Pro 更新 M6 芯片
-
福特推出售价低于 3 万美元的电动皮卡，把家用备用逆变器直接集成进车内
-
Super Mouse 把触屏宏键盘放到你手边
-
研究人员开始厌倦 OpenAI 对突破性成果的封锁