Eine undokumentierte Einstellung genügte, um Metas Muse in eine Diktier-Hintertür zu verwandeln.

Am 21. September 2026 veröffentlichte der Sicherheitsforscher Patrick Wardle einen Proof of Concept namens not-a-mused, der zeigt, dass eine undokumentierte Präferenz im Muse-Assistenten von Meta für macOS entscheidet, wohin die App sendet, was man diktiert. Der Schlüssel ist endo_voyager_dictation_endpoint, und jeder Prozess, der unter dem angemeldeten Benutzer läuft, kann ihn ohne Administratorkennwort oder macOS-Abfrage umschreiben. Richtet man ihn auf eine vom Angreifer kontrollierte Adresse, landen die Audio- und Transkriptdaten von Muse dort statt bei Meta; Wardle zeigte, dass ein Angreifer dann das Diktat lesen, Anweisungen einschleusen kann, denen Muse folgt, und ein Token entwenden kann, mit dem man sich beim Muse-Konto des Benutzers anmeldet – und so jedes Gerät erreicht, auf dem dieses Konto angemeldet ist. Meta sagt, es habe am nächsten Tag einen Hotfix ausgeliefert. Es wurde kein Angriff in der realen Welt gemeldet. Der eigene Eintrag des Archivs zu dieser Offenlegung mit seiner Schweregradbewertung und den zitierten Quellen befindet sich in dem KI-Vorfallarchiv neben den anderen Einträgen zu Agenten-Schwachstellen in dieser Serie.

Was die Einstellung bewirkt und warum ein Schlüssel ausreichte

Wardle ist Mitbegründer der gemeinnützigen Organisation Objective-See, berichtet The Register. Muse ist Metas persönlicher Agent, der Anfang September 2026 in den Vereinigten Staaten eingeführt wurde, und The Hacker News berichtet, dass er, sobald ein Nutzer ihn aktiviert, auf dessen Dateien, E-Mails, Nachrichten, Kalender, Einkaufs- und Smart-Home-Apps zugreifen kann – mit welchen Berechtigungen auch immer die Person ihn ausstattet. Wardles Fundstück steht nicht auf dieser Zugriffsliste. Es steckt in der Infrastruktur darunter: Die Mac-App enthält eine Einstellung, die Diktier-Audio vom Gerät wegleitet, und die Adresse, an die es geleitet wird, ist an einer Stelle gespeichert, an der das Betriebssystem sie nicht vor anderen Programmen schützt, die unter demselben Benutzer laufen.

In den eigenen Worten des Repositorys zeigt der Proof-of-Concept, dass „ein lokaler Angreifer oder Malware diesen Endpunkt ohne besondere Berechtigungen ändern kann“, woraufhin „diktierte Prompts an einen vom Angreifer kontrollierten Endpunkt gesendet werden können“. Das Repository listet auf, was dies potenziell ermöglicht: das Abfangen von diktiertem Audio und diktierten Prompts, Prompt-Injection in Muse, den Diebstahl von Muse-Authentifizierungsmaterial und den Missbrauch jeglichen Zugriffs, den der Nutzer der App gewährt hat. Es fasst die Konsequenz in einer Zeile zusammen: „Muses Zugriff kann potenziell zum Zugriff des Angreifers werden.“ Der Proof-of-Concept implementiert, was sein README als eine Teilmenge der mehr als 50 Befehle bezeichnet, die Muse bereitstellt.

Die von The Hacker News beschriebene Abfolge ist mechanisch. Ein Programm, das der Angreifer auf demselben Mac ausführt, schreibt die Einstellung um und wartet dann. Der Nutzer tippt auf das Mikrofon und spricht. Das Audio und der daraus resultierende Text gelangen zum Programm des Angreifers statt zu Meta. Aus dieser Position heraus demonstrierte Wardle drei Dinge: das zu lesen, was der Nutzer diktiert hat; zusätzliche Anweisungen hinzuzufügen, denen Muse vertraut und die Muse ausführt – das Medium beschreibt den Effekt als Prompt-Injection –; und das Token abzufangen, mit dem man sich beim Muse-Konto des Nutzers anmeldet.

Ein Token – und jedes Gerät dahinter.

Das Token ist der Teil, der den Mac verlässt. The Hacker News berichtet, dass Muse sein Authentifizierungstoken zusammen mit dem umgeleiteten Diktat sendet, sodass derselbe Listener, der das Transkript erfasst, auch die Zugangsdaten erfasst. Damit kann ein Angreifer, so Wardle, den Chatverlauf des Kontos lesen und dem Assistenten direkt Anweisungen geben – und da ein Muse-Konto auf mehreren Geräten angemeldet sein kann, sind diese Anweisungen nicht auf den kompromittierten Rechner beschränkt.

Wardle führte diesen Teil auf seiner eigenen Hardware aus. Vom Mac aus wies er die Muse-App auf seinem iPhone an, ihren genauen Standort zu melden, einen Bluetooth-Scan nach Geräten in der Nähe durchzuführen und die Smart-Home-Befehle aufzulisten, die sie senden konnte. The Hacker News fügt der Demonstration eine Einschränkung hinzu: In seinen Tests formulierte der Assistent nur Nachrichten, statt sie selbstständig zu versenden.

Das ist das Argument dafür, den Fehler als mehr als ein Diktier-Leck zu behandeln. The Register berichtet über Wardles Einordnung des allgemeinen Problems – dass macOS dafür gebaut wurde, ein Programm daran zu hindern, die Daten eines anderen zu lesen, und dass ein Agent, dem weitreichender Zugriff gewährt wurde, zu einem Single Point of Failure für diese Kontrollen wird. „Nur weil ein schlechter Nachbar einzieht, heißt das nicht, dass dieser Nachbar automatisch Zugang zu allen Wohnungen hat“, sagte er gegenüber The Register. Ein Assistent, dem man die Schlüssel gegeben hat, ist eine andere Sache.

Was es nicht tut

Drei Einschränkungen werden in den Quellen genannt und sind für jeden relevant, der die Exposition bewertet. Erstens ist die Schwachstelle für sich genommen kein Weg in einen Mac: Sie benötigt bereits unter dem angemeldeten Benutzer laufenden Code, weshalb Wardles Repository sie als „einen lokalen Angriff“ bezeichnet und Meta sie später als lokale Rechteausweitung bezeichnete. Zweitens hebt sie die macOS-Anwendungsisolierung nicht auf — The Hacker News berichtet, dass sie die Grenze nicht überschreitet, die eine App daran hindert, die gespeicherten Passwörter und Tokens einer anderen App zu lesen; Muses eigenes Token wird mit der umgeleiteten Diktierfunktion mitgeführt, und der Angriff funktioniert, indem Muse dazu gebracht wird, mit Zugriff zu handeln, über den sie bereits verfügt. Drittens zeigt sie nicht, dass Metas Cloud-Design, das das Unternehmen gebaut hat, um den Agenten jedes Benutzers von anderen abzuschotten, durchbrochen wurde.

Was es jedoch zeigt, ist, warum Endpoint Security es möglicherweise nicht bemerkt. The Hacker News berichtet über Wardles Argument, dass die Befehle von Muse stammen, einer normalen signierten Anwendung, und nicht von etwas, das wie Malware aussieht; The Register gibt dieselbe Sorge mit seinen Worten wieder, dass ein EDR-Produkt nicht unterscheiden kann, ob ein Befehl vom Benutzer, vom Agenten oder von einem Angreifer kam.

Wardle benennt außerdem eine Ursache. The Register berichtet, dass Apple Diktierfunktionen auf dem Gerät bereitstellt und dass die Schwachstelle seiner Einschätzung nach nicht existieren würde, hätte Meta diese API verwendet; er legt nahe, dass Meta sich dagegen entschieden hat, weil das Unternehmen die Daten haben will, und fügt hinzu: „Ich denke, ein Stück weit öffnet ihre Gier nach Nutzerdaten die Tür und vergrößert die Angriffsfläche." Das ist seine Vermutung über Metas Motiv, keine belegte Tatsache, und Meta hat darauf in der hier herangezogenen Berichterstattung nicht reagiert.

Offenlegung, der Hotfix und ein Streit über das Label

Wardle ging an die Öffentlichkeit, ohne Meta vorher zu informieren. The Hacker News berichtet, dass er sich für vollständige Offenlegung entschied, damit Nutzer das Risiko verstehen, und weil dies oft der schnellste Weg zu einer Behebung ist. The Register, das ihn interviewte, sagt, Meta habe auf seine Anfrage nach einer Stellungnahme nicht sofort reagiert.

Die Antwort kam am nächsten Tag, und sie enthielt eine Einordnung. In einem Social-Media-Beitrag am 22. September sagte David Singleton von Meta Superintelligence Labs, die Muse-App sei überarbeitet worden: „Dies war ein lokaler Privilegieneskalationsangriff, kein Remote-Exploit. Um damit Schaden anzurichten, muss daher bereits bösartiger Code auf dem Rechner des Nutzers unter dessen Benutzerkonto laufen, und das praktische Risiko für Nutzer der Muse-Mac-App war daher recht gering.“ In dem Beitrag hieß es weiter: „Nichtsdestotrotz haben wir einen Hotfix für die App veröffentlicht, um das Problem zu beheben.“

An einem einzigen eng umrissenen Punkt sind sich die beiden Seiten uneinig, und die Uneinigkeit betrifft die Klassifizierung, nicht den Mechanismus. Singletons Aussage stützt sich auf die Anforderung, dass bereits lokaler Code vorhanden sein muss. Wardle sagte gegenüber The Hacker News, ein Remote-Angreifer könne dennoch über einen ClickFix-Trick dorthin gelangen – das Muster, bei dem ein Nutzer dazu gebracht wird, einen einzelnen Befehl in Terminal einzufügen, ohne dass etwas heruntergeladen oder installiert werden muss –, wodurch die lokale Ausführung bereitgestellt würde, die der Exploit benötigt. Keine für diesen Artikel geprüfte Quelle berichtet, dass jemand dies tatsächlich getan hat, und der ClickFix-Weg ist eine demonstrierte Möglichkeit und keine beobachtete Kampagne.

Was der Hotfix ändert, ist nicht öffentlich. The Hacker News berichtete, dass es nicht bestätigen könne, was die Änderung bewirkt, und dass Meta keine Sicherheitsmitteilung veröffentlicht habe; die Aufzeichnung des Archivs vermerkt ebenfalls, dass keine Mitteilung herausgegeben wurde. Ein Muse-Nutzer hat daher Metas Zusage, dass das Problem behoben sei, und kein Dokument, das beschreibt, wie.

Was gilt als gesichert und was nicht

Das Archiv bewertet diesen Eintrag mit Vertrauensstufe A – gut dokumentiert, mit übereinstimmenden Primärquellen – und markiert ihn nicht als umstritten. Diese Bewertung ist keine Behauptung, dass ein Schaden eingetreten ist: Der Eintrag kennzeichnet tatsächlichen Schaden als falsch, und nichts in der geprüften Berichterstattung beschreibt einen angegriffenen Nutzer, ein gestohlenes Konto oder eine verlorene Datei. Die Belege sind ein Proof-of-Concept eines Forschers, seine eigenen Vorführungen und eine Stellungnahme des Herstellers.

• Festgestellt:Die Muse-macOS-App enthielt eine undokumentierte Einstellung namens endo_voyager_dictation_endpoint, die steuerte, wohin Diktate gesendet wurden, und ein Prozess, der unter dem angemeldeten Benutzer lief, konnte sie ohne erhöhte Rechte umschreiben – laut Wardles Repository und beiden Medien.

• Festgestellt:Laut The Hacker News wurden durch die Umleitung dieses Endpunkts Diktieraudio und Transkript an eine vom Angreifer kontrollierte Adresse gesendet, und Muses Authentifizierungstoken wurde dabei mit übertragen.

• Festgestellt: Ein so erlangtes Token könnte Muse auf anderen Geräten steuern, die im selben Konto angemeldet sind; Wardle demonstrierte laut The Hacker News auf seinem eigenen iPhone die Standortmeldung, einen Bluetooth-Scan und eine Smart-Home-Befehlsliste.

• Bestätigt: Der Angriff erforderte Codeausführung als Benutzer, konnte die macOS-Anwendungsisolierung nicht aushebeln und durchbrach nicht Metas Cloud-Trennung, laut The Hacker News und Wardles Repository.

• Bestätigt: Wardle hat die Offenlegung ohne vorherige Benachrichtigung von Meta vorgenommen, und Meta erklärte am 22. September, es habe einen Hotfix veröffentlicht, wie The Register und The Hacker News berichten.

• Nicht belegt: was der Hotfix geändert hat, ob die Einstellung in aktuellen Builds noch existiert und ob der ClickFix-Pfad ihn übersteht. In den geprüften Berichten findet sich weder eine Sicherheitsmeldung noch ein Changelog oder ein CVE-Eintrag, der den Fix beschreibt.

• Nicht belegt:ob in freier Wildbahn jemand ins Visier genommen wurde und ob die Schwachstelle auf einer anderen Plattform als der macOS-App erreichbar war. Jede in den Unterlagen dokumentierte Demonstration lief auf Wardles eigenen Rechnern.

• Nicht belegt: unabhängige Reproduktion. Beide Medien berichteten über den Befund, und The Register interviewte Wardle telefonisch, doch keine dritte Partei hat einen eigenen Test der Weiterleitung veröffentlicht, und Meta hat den Fehler nicht in eigenen Worten beschrieben, über Singletons Klassifizierung hinaus.

Die vorläufige Empfehlung und was sich verallgemeinern lässt

Während der Fix unbestätigt war, veröffentlichte The Hacker News eine kurze Liste von Vorsichtsmaßnahmen für Mac-Nutzer, und es lohnt sich, sie festzuhalten, weil sie die Gefährdung genau abbildet. Beenden oder entfernen Sie Muse, wodurch der Pfad vollständig geschlossen wird. Überprüfen Sie die Apps und Berechtigungen, die Muse besitzt, und widerrufen Sie alles, was es nicht braucht, damit ein gekaperter Agent weniger erbt. Betrachten Sie das Muse-Konto und die damit verbundenen Konten als exponiert, falls der Mac bereits kompromittiert sein könnte, und ändern Sie diese Passwörter. Vermeiden Sie die Spracheingabe von Muse, die der spezifische Auslöser ist, auf den das Proof of Concept wartet. Und führen Sie keine Befehle aus, die Ihnen eine Website oder eine Nachricht zum Einfügen in Terminal vorgibt, denn so beginnt der ClickFix-Pfad.

Der übertragbare Befund ist kleiner als „KI ist unsicher“ und schärfer als „patcht eure Apps“. Der Nutzen eines Agenten und sein Schadensradius sind dieselbe Zahl: Die Berechtigungen, die Muse das Lesen von Dateien und das Senden von Nachrichten ermöglichen, sind dieselben Berechtigungen, die ein Angreifer erbt, indem er ihn steuert, und keine Kontrolle, die er bestanden hat, wurde selbst ausgehebelt. macOS wahrte seine App-Grenze, Metas Cloud wahrte ihre Trennung, und das Token wurde nicht aus einem Schlüsselbund entwendet. Eine Einstellung, die eigentlich wirkungslos hätte sein sollen, war tragend, und sie lag außerhalb jeder Schicht, die zum Schutz der Daten gebaut wurde, auf die sie verwies. Wardles eigene Zusammenfassung des Design-Kompromisses, gegenüber The Register geäußert, ist diejenige, die den Patch überdauert: „Sie sind super bequem und super befähigend. Aber sie haben so viel Zugriff, wenn man sie so konfiguriert, dass sie nützlich sind. Sie könnten im Grunde alles auf deinem Computer tun.“