إعداد واحد غير موثّق كان كافيًا لتحويل Muse من Meta إلى باب خلفي للإملاء

في 21 سبتمبر 2026، نشر باحث الأمن باتريك واردل إثبات مفهوم يُدعى not-a-mused يُظهر أن تفضيلاً غير موثّق داخل مساعد Muse من Meta لنظام macOS يحدد إلى أين يرسل التطبيق ما تُمليه صوتياً. مفتاحه هو endo_voyager_dictation_endpoint، وأي عملية تعمل باسم المستخدم المسجّل الدخول يمكنها إعادة كتابته دون كلمة مرور مسؤول أو مطالبة من macOS. وجّهه إلى عنوان يتحكم به المهاجم، فتذهب تسجيلات Muse الصوتية والنص المكتوب إلى هناك بدلاً من Meta؛ وأظهر واردل أن المهاجم يستطيع بعد ذلك قراءة الإملاء الصوتي، وحقن تعليمات يمتثل لها Muse، واستخراج رمز يسجّل الدخول إلى حساب Muse الخاص بالمستخدم — بما يصل إلى كل جهاز مسجّل الدخول فيه إلى ذلك الحساب. تقول Meta إنها أصدرت إصلاحاً عاجلاً في اليوم التالي. لم يُبلَّغ عن أي هجوم في العالم الحقيقي. يقع سجل الأرشيف نفسه الخاص بالإفصاح، مع تصنيف خطورته ومصادره المذكورة، في أرشيف حوادث الذكاء الاصطناعي إلى جانب مدخلات ثغرات الوكلاء الأخرى في هذه السلسلة.

ما الذي يفعله هذا الإعداد، ولماذا كان مفتاح واحد كافيًا

Wardle هو أحد مؤسسي منظمة Objective-See غير الربحية، وفقًا لما يذكره The Register. وMuse هو وكيل Meta الشخصي، وقد أُطلق في الولايات المتحدة في وقت سابق من سبتمبر 2026، ويذكر The Hacker News أنه بمجرد أن يفعّله المستخدم يمكنه العمل عبر ملفاته وبريده الإلكتروني ورسائله وتقويمه وتطبيقات التسوق والمنزل الذكي، باستخدام أي صلاحيات يختار الشخص منحها له. ليست النتيجة التي توصل إليها Wardle ضمن قائمة الصلاحيات تلك، بل هي في البنية الأساسية الكامنة تحتها: إذ يتضمن تطبيق Mac إعدادًا يوجّه صوت الإملاء إلى خارج الجهاز، ويُخزَّن العنوان الذي يوجّه إليه في مكان لا يحميه فيه نظام التشغيل من برامج أخرى تعمل باسم المستخدم نفسه.

بكلمات المستودع نفسه، يوضح إثبات المفهوم أن «بإمكان مهاجم محلي أو برمجية خبيثة تعديل نقطة النهاية هذه دون امتيازات خاصة»، وبعد ذلك «يمكن إرسال مطالبات مُملاة إلى نقطة نهاية يتحكم بها المهاجم». ويسرد المستودع ما قد يتيحه ذلك: التقاط الصوت والمطالبات المُملاة، وحقن المطالبات في Muse، وسرقة مواد مصادقة Muse، وإساءة استخدام أي صلاحيات منحها المستخدم للتطبيق. ويلخّص النتيجة في سطر واحد: «قد تتحول صلاحيات Muse إلى صلاحيات المهاجم». ويُنفّذ إثبات المفهوم ما يسميه ملف README الخاص به مجموعة فرعية من أكثر من 50 أمرًا يكشفها Muse.

التسلسل الذي تصفه The Hacker News آلي. فبرنامج يشغّله المهاجم على جهاز Mac نفسه يعيد كتابة التفضيل، ثم ينتظر. ينقر المستخدم على الميكروفون ويتحدث. ويذهب الصوت والنص الناتج إلى برنامج المهاجم بدلاً من Meta. ومن هذا الموضع، أظهر Wardle ثلاثة أمور: قراءة ما أملاه المستخدم، وإضافة تعليمات إضافية يثق بها Muse ويتصرف بناءً عليها — تصف المنصة الأثر بأنه حقن موجهات — والتقاط الرمز الذي يسجّل الدخول إلى حساب Muse الخاص بالمستخدم.

رمز، وكل جهاز يقف خلفه

الرمز المميز هو الجزء الذي يغادر جهاز Mac. وتُفيد Hacker News بأن Muse يرسل رمز المصادقة الخاص به مع الإملاء المُعاد توجيهه، لذا فإن المستمع نفسه الذي يلتقط النص المكتوب يلتقط أيضًا بيانات الاعتماد. وباستخدامه، يقول Wardle، يمكن للمهاجم قراءة سجل محادثات الحساب وإعطاء المساعد أوامر مباشرة — ولأن حساب Muse يمكن تسجيل الدخول إليه على عدة أجهزة، فإن تلك الأوامر لا تقتصر على الجهاز المخترق.

شغّل Wardle ذلك الجزء على عتاده الخاص. ومن جهاز Mac، وجّه تطبيق Muse على iPhone الخاص به كي يبلّغ عن موقعه الدقيق، ويشغّل مسح Bluetooth للأجهزة القريبة، ويسرد أوامر المنزل الذكي التي يمكنه إرسالها. ويضيف The Hacker News حدًا واحدًا إلى العرض التوضيحي: في اختباراته، اقتصر المساعد على صياغة الرسائل فقط بدلًا من إرسالها بنفسه.

هذه هي الحجة لعدم التعامل مع الخطأ باعتباره مجرد تسريب في خاصية الإملاء. وتنقل The Register صياغة واردل للمشكلة العامة — وهي أن macOS صُمم لمنع برنامج واحد من قراءة بيانات برنامج آخر، وأن الوكيل الذي مُنح وصولًا واسعًا يصبح نقطة فشل وحيدة لتلك الضوابط. "مجرد انتقال جار سيئ للسكن لا يعني أن لهذا الجار حق الوصول تلقائيًا إلى جميع الشقق"، كما قال لـ The Register. أما المساعد الذي أُعطي المفاتيح فمسألة مختلفة.

ما لا يفعله

ثمة ثلاثة قيود مذكورة في المصادر وتهم أي شخص يقيّم التعرض. أولًا، الثغرة ليست وسيلة لدخول جهاز Mac بحد ذاتها: فهي تحتاج إلى شيفرة قيد التشغيل بالفعل باسم المستخدم المسجّل الدخول، ولهذا يصفها مستودع Wardle بأنها "هجوم محلي" وأطلقت عليها Meta لاحقًا "تصعيد امتيازات محلي". ثانيًا، لا تتغلب على عزل تطبيقات macOS — إذ تُفيد The Hacker News بأنها لا تتجاوز الحدود التي تمنع تطبيقًا من قراءة كلمات المرور والرموز المحفوظة لتطبيق آخر؛ فرَمز Muse نفسه يسير جنبًا إلى جنب مع الإملاء المُعاد توجيهه، ويعمل الهجوم بجعل Muse يتصرف بصلاحيات يمتلكها بالفعل. ثالثًا، لا تُثبت أن تصميم Meta السحابي، الذي بنته الشركة لإبقاء وكيل كل مستخدم معزولًا عن الآخرين، قد اختُرق.

ما يوضحه ذلك هو سبب احتمال ألا يلاحظ أمن نقاط النهاية الأمر. يورد The Hacker News نقطة Wardle بأن الأوامر تأتي من Muse، وهو تطبيق موقّع عادي، وليس من شيء يشبه البرمجيات الخبيثة؛ ويسجّل The Register القلق نفسه بكلماته، وهو أن منتج EDR لا يستطيع التمييز ما إذا كان الأمر قد جاء من المستخدم أو الوكيل أو المهاجم.

ويعزو واردل أيضًا سببًا لذلك. ويذكر The Register أن Apple توفر الإملاء على الجهاز، وأنه بحسب تقييمه ما كانت هذه الثغرة لتوجد لو أن Meta استخدمت واجهة API تلك؛ ويقترح أن Meta اختارت عدم استخدامها لأنها تريد البيانات، ويضيف: «أعتقد أن بعض جشعهم تجاه بيانات المستخدمين يفتح الباب نوعًا ما، ويجعل سطح الهجوم أكبر». هذا استنتاج منه بشأن دافع Meta، وليس حقيقة موثقة، ولم ترد Meta عليه في التغطية التي روجعت هنا.

الإفصاح، والإصلاح العاجل، وجدال حول التسمية

كشف واردل عن الأمر علنًا دون إبلاغ ميتا أولاً. وذكرت The Hacker News أنه اختار الإفصاح الكامل كي يفهم المستخدمون المخاطر، ولأنه غالبًا أسرع طريق لإصلاح المشكلة. وقالت The Register، التي أجرت معه مقابلة، إن ميتا لم ترد على الفور على طلبها للتعليق.

جاء الرد في اليوم التالي، وجاء مصحوبًا بتوصيف. وفي منشور على وسائل التواصل الاجتماعي بتاريخ 22 سبتمبر، قال ديفيد سينغلتون من Meta Superintelligence Labs إن تطبيق Muse قد جرى تعديله: «كان هذا هجومًا لتصعيد الامتيازات محليًا، وليس استغلالًا عن بُعد. وبالتالي فإن استخدامه لإلحاق الضرر يتطلب وجود تعليمات برمجية ضارة تعمل بالفعل على جهاز المستخدم ضمن حساب المستخدم الخاص به، ولذلك كان الخطر العملي على مستخدمي تطبيق Muse Mac منخفضًا جدًا.» وأضاف المنشور: «ومع ذلك، فقد أصدرنا إصلاحًا عاجلًا للتطبيق لمعالجة المشكلة.»

يختلف الطرفان في نقطة ضيقة واحدة، والخلاف يتعلق بالتصنيف لا بالآلية. يستند تصريح Singleton إلى شرط وجود شيفرة محلية قائمة. أخبر Wardle موقع The Hacker News أن مهاجمًا عن بُعد قد يصل إلى ذلك رغم ذلك عبر خدعة ClickFix — النمط الذي يقنع المستخدم بلصق أمر واحد في Terminal، دون أي شيء يُنزَّل أو يُثبَّت — وهو ما سيوفر التنفيذ المحلي الذي يحتاجه الاستغلال. لا يُفيد أي مصدر روجِع لهذا المقال بأن أحدًا قد فعل ذلك فعليًا، ومسار ClickFix احتمال مُثبَت لا حملة مرصودة.

ما يغيّره التحديث العاجل ليس معلومًا للعموم. أفادت Hacker News بأنها لم تتمكن من تأكيد ما يفعله هذا التغيير، وبأن Meta لم تنشر نشرة أمنية؛ وبالمثل يشير سجل الأرشيف إلى أنه لم تصدر أي نشرة. وهكذا فإن مستخدم Muse لديه تأكيد من Meta بأن المشكلة قد عولجت، دون أي وثيقة توضح كيف.

ما هو ثابت، وما هو غير ثابت

يصنّف الأرشيف هذا السجل بدرجة ثقة A — موثّق جيدًا، مع مصادر أولية متوافقة — ولا يضع عليه علامة كونه محل نزاع. هذا التصنيف ليس ادعاءً بوقوع ضرر: فالسجل يحدد الضرر الفعلي على أنه غير واقع، ولا شيء في التغطية التي جرى مراجعتها يصف مستخدمًا تعرّض لهجوم، أو حسابًا مسروقًا، أو ملفًا مفقودًا. الأدلة هي إثبات مفهوم من باحث، وعروض توضيحية من إعداده هو، وبيان من مورّد.

• ثبت: تضمّن تطبيق Muse لنظام macOS تفضيلًا غير موثّق باسم endo_voyager_dictation_endpoint كان يتحكم في وجهة إرسال الإملاء، وكان بإمكان عملية تعمل بصفة المستخدم المسجّل الدخول إعادة كتابته دون صلاحيات مرتفعة، وفقًا لمستودع Wardle وكلا المنفذين الإعلاميين.

• ثبت: أن إعادة توجيه نقطة النهاية تلك أرسلت صوت الإملاء والنص إلى عنوان يتحكم فيه مهاجم، وانتقل رمز مصادقة Muse معه، وفقًا لـ The Hacker News.

• ثبت: يمكن لرمز تم الحصول عليه بهذه الطريقة تشغيل Muse على أجهزة أخرى مسجّلة الدخول إلى الحساب نفسه؛ وقد أظهر واردل الإبلاغ عن الموقع، ومسحًا عبر Bluetooth، وقائمة أوامر منزل ذكي على iPhone الخاص به، وفقًا لـ The Hacker News.

• مؤكد: تطلّب الهجوم تنفيذ تعليمات برمجية بصلاحيات المستخدم، ولم يتغلب على عزل تطبيقات macOS، ولم يخرق الفصل السحابي لدى Meta، وفقًا لـ The Hacker News ومستودع Wardle.

• مؤكد: كشف واردل دون إخطار Meta مسبقًا، وقالت Meta في 22 سبتمبر إنها أصدرت إصلاحًا عاجلًا، وفقًا لـ The Register و The Hacker News.

• غير مؤكد: ما الذي غيّره الإصلاح السريع، وما إذا كان التفضيل لا يزال موجودًا في الإصدارات الحالية، وما إذا كان مسار ClickFix يظل صامدًا أمامه. لا يظهر أي إشعار أو سجل تغييرات أو إدخال CVE يصف الإصلاح في التغطية التي جرى مراجعتها.

• لم يثبت: ما إذا كان قد استُهدف أي شخص في البرية، وما إذا كانت الثغرة قابلة للوصول على أي منصة أخرى غير تطبيق macOS. كل عرض في السجل جرى على أجهزة واردل الخاصة.

• غير مثبت:إعادة إنتاج مستقلة. فقد أبلغت كلتا الوسيلتين عن النتيجة، وأجرت The Register مقابلة هاتفية مع Wardle، لكن لم ينشر أي طرف ثالث اختباره الخاص لإعادة التوجيه، ولم تصف Meta العيب بكلماتها الخاصة بما يتجاوز تصنيف Singleton.

المشورة المؤقتة، وما يمكن تعميمه

في حين أن الإصلاح لم يكن مؤكداً، نشر The Hacker News قائمة قصيرة من الاحتياطات لمستخدمي Mac، ويستحق تدوينها لأنها تحدد نطاق التعرض بدقة. أنهِ تشغيل Muse أو أزله، فهذا يغلق المسار تماماً. راجع التطبيقات والأذونات التي يملكها Muse وألغِ أي شيء لا يحتاجه، حتى يرث وكيل مخترق أقل. اعتبر حساب Muse والحسابات المرتبطة به مكشوفة إذا كان Mac قد يكون مخترقاً بالفعل، وغيّر تلك الكلمات المرورية. تجنّب إدخال الصوت في Muse، فهو المحفز المحدد الذي ينتظره إثبات المفهوم. ولا تنفّذ أوامر يطلب منك موقع ويب أو رسالة لصقها في Terminal، فهكذا يبدأ مسار ClickFix.

النتيجة القابلة للنقل أصغر من «الذكاء الاصطناعي غير آمن» وأحدّ من «رقّع تطبيقاتك». فائدة الوكيل ونطاق الضرر الذي يمكن أن يسببه هما الرقم نفسه: الأذونات التي تتيح لـ Muse قراءة الملفات وإرسال الرسائل هي الأذونات نفسها التي يرثها المهاجم بتوجيهه، ولم يُهزَم أي ضابط أمني اجتازه. أبقى macOS حدّ تطبيقاته، وأبقت سحابة Meta فصلها، ولم يُستخرج الرمز المميز من سلسلة مفاتيح. وكان تفضيلٌ ينبغي أن يكون خاملًا حاملًا للحمل، ووقع خارج كل طبقة بُنيت لحراسة البيانات التي كان يشير إليها. أما خلاصة ووردل نفسه عن المقايضة التصميمية، التي صرّح بها لـ The Register، فهي ما سيبقى بعد الترقيع: «إنها مريحة للغاية وتمنحك قدرات هائلة. لكنها تملك وصولًا كبيرًا جدًا إذا هيّأتها لتكون مفيدة. فهي في الأساس تستطيع أن تفعل أي شيء على حاسوبك.»