Meta Muse macOS客户端曝零日漏洞 可绕过macOS安全

一款主打隐私安全的AI桌面客户端，却被曝出存在可被轻易利用的零日漏洞，攻击者无需复杂操作就能绕过系统安全边界，窃取用户敏感信息甚至控制设备。

据安全领域的公开披露，Meta新近推出的Muse macOS桌面客户端存在一个尚未修复的零日漏洞。尽管Meta相关负责人曾声称，这款自主式人工智能助手从研发之初便以隐私和安全作为核心设计基础，但该漏洞却能让本地运行的软件或Shell命令直接劫持该应用程序。通过这一攻击路径，非特权软件能够借用用户此前授予该助手的广泛系统权限，绕过macOS的标准安全边界。由于Meta未发布正式的安全公告，也未与CVE编号授权机构进行协调，该漏洞目前尚无正式的CVE编号。

该漏洞的根源在于一个未公开的配置首选项键，名为endo_voyager_dictation_endpoint。在macOS系统环境中，以非特权用户身份运行的本地进程和任意脚本，无需获取管理员提升权限，也不会触发操作系统的授权提示，就能直接覆盖这个配置值。在正常运行状态下，该参数用于指定接收语音听写音频并返回转录结果的云端服务器端点，攻击者只需修改这一设置，就能悄无声息地将助手发出的所有听写流量，重定向至自己直接控制的恶意服务器。

从实际攻击效果来看，该漏洞会同时危及用户输入内容的机密性和账户凭据安全。当用户启用听写功能时，桌面客户端会将原始麦克风采集的音频数据，以及与受害者Muse账户关联的有效身份验证令牌，一并发送至配置的服务器端点。研究者演示了攻击者可以通过搭建一台代理服务器，在捕获身份验证令牌和音频数据的同时，将正常流量无缝转发回Meta的官方服务器，以此避免被发现。在获得有效会话凭据并直接控制命令管道后，攻击者还可以实施提示词注入攻击，在语音请求中附加隐藏指令，迫使AI助手在后台执行未经授权的任务，比如窃取本地文档、导出WhatsApp聊天记录等。

该漏洞在技术层面的核心危害在于，它会放大访问权限并侵蚀平台的信任边界。macOS等操作系统依靠“透明度、同意与控制”框架，限制应用程序访问硬件外设、文件、通讯录和日历等敏感资源。而Muse作为一款能够与应用程序、日历、电子邮件和本地文件深度交互的智能体，用户通常会授予它非常广泛的系统权限。研究者指出，该漏洞让恶意行为者无需开发复杂的独立信息窃取恶意软件，只需操纵这一AI助手，就能将这款经过签名、受到系统信任的应用程序变成攻击入口。一名前Meta人工智能安全工程经理也表达了类似的架构层面担忧，称由于深度集成所固有的风险，自己不会使用这款软件。

安全研究者发布了一个名为not-a-mused的概念验证漏洞利用程序，演示了如何通过遭到入侵的AI助手执行各类命令。此次漏洞披露的时间点，刚好在电商平台以不符合自动化智能体访问政策为由，禁止Muse访问其购物平台之后不久。漏洞被公开披露后，Meta很快为macOS版Muse应用部署了热修复补丁，该补丁从生产客户端的构建包中移除了这一内部调试首选项设置，从而阻止了本地修改听写服务器目标地址的攻击路径。

Meta方面将这一漏洞视为内部配置缺陷，并未遵循正式的CVE编号分配流程。Meta相关团队将该问题描述为一种需要事先具备代码执行能力的本地配置问题，工程团队则通过从生产构建中悄然移除内部调试首选项键解决了该问题。但安全社区对此并不认同，有评论指出，利用社会工程诱饵即可轻易获得初始的代码执行权限，而绕过macOS的“透明度、同意与控制”框架历来十分复杂。在多个技术社区的广泛讨论中，观察人士指出，Meta将设备跨端同步、完整磁盘权限、音频流和私人聊天记录集中到一个未受沙箱限制、经过签名且调试端点可被修改的智能体中，实际上为普通恶意软件提供了一条几乎不费力便可绕过平台保护机制、同时不触发运行告警的攻击通道。