Uma definição que ninguém documentou
Um investigador de segurança publicou na segunda-feira código de exploração funcional para o assistente Muse da Meta em macOS, e desaconselhou os utilizadores de Mac a instalar a aplicação. Patrick Wardle, fundador da Objective-See Foundation e autor sobre software malicioso para Mac, chama à sua prova de conceito not-a-mused.
A falha é uma definição não documentada do cliente Muse para macOS chamada endo_voyager_dictation_endpoint. Qualquer processo que corra com a conta do utilizador pode alterá-la, sem direitos de administrador, noticiou o The Register. Alterada, o áudio que a pessoa dita ao Muse segue para o servidor de um atacante em vez do da Meta.
O que isso dá ao atacante
Três coisas: o áudio ditado e todas as instruções nele contidas, a capacidade de injetar ordens no assistente, e o material de autenticação do próprio assistente.
A terceira é a grave. A Runtime Wire relata que o código de Wardle consulta depois a API de inventário de dispositivos do próprio Muse, descobre quais estão em linha e envia-lhes comandos. O Muse expõe mais de cinquenta. A demonstração obtém à distância a localização de um iPhone e corre varrimentos Bluetooth num telemóvel associado.
Local, e é esse o ponto
Não é um ataque remoto. Pressupõe que algo já corre código no Mac com a conta do utilizador, o que faz dele uma escalada de privilégios e não uma porta de entrada. O argumento de Wardle é que um assistente é exatamente onde essa distinção deixa de se aguentar.
O software malicioso que chega a um Mac traz normalmente apenas as permissões que consegue arrancar. O Muse, para fazer o seu trabalho, pede ficheiros, microfone, câmara, localização e calendário. O que o sequestrar herda tudo isso de uma vez, e com ele o telemóvel no bolso do utilizador. Uma aplicação de IA, disse Wardle ao The Register, “podia basicamente fazer tudo no seu computador”.
A posição da Meta
A Meta destacou uma funcionalidade a que chama Muse Secure VM quando o cliente para Mac saiu, dizendo que o utilizador controla o que o assistente pode alcançar. A empresa não respondeu de imediato ao pedido de comentário do The Register, e não foi anunciada qualquer correção. A Runtime Wire refere que a Meta paga até 300.000 dólares por relatos válidos num programa de recompensas sobre o assistente.
Um produto com duas semanas
O Muse é recente. A Meta apresentou-o a 8 de setembro como um agente que atua sobre os serviços ligados de uma pessoa — correio, calendário, pagamentos, compras — e chegou ao topo das aplicações gratuitas da App Store norte-americana numa semana. O cliente para Mac em causa saiu a 17 de setembro. A Amazon bloqueou o agente na sua loja no domingo, invocando, entre outras coisas, a forma como lida com credenciais.
O que observar
Se a Meta transformar a definição de ditado num valor privilegiado, e com que rapidez. A pergunta maior que a divulgação coloca é quais os processos de uma máquina que devem poder falar com um agente que já pode falar com tudo o resto.
