הגדרה אחת לא מתועדת הספיקה כדי להפוך את Muse של Meta לדלת אחורית להכתבה

ב-21 בספטמבר 2026 פרסם חוקר האבטחה Patrick Wardle הוכחת היתכנות בשם not-a-mused שמראה שהעדפה לא מתועדת אחת בתוך העוזר Muse של Meta ל-macOS קובעת לאן האפליקציה שולחת את מה שאתה מכתיב. המפתח הוא endo_voyager_dictation_endpoint, וכל תהליך שרץ כמשתמש המחובר יכול לשכתב אותו בלי סיסמת מנהל או הנחיה של macOS. אם מפנים אותו לכתובת שהתוקף שולט בה, האודיו והתמלול של Muse עוברים לשם במקום ל-Meta; Wardle הראה שהתוקף יכול אז לקרוא את ההכתבה, להזריק הוראות ש-Muse מציית להן, ולחלץ טוקן שמשמש לכניסה לחשבון ה-Muse של המשתמש — ולהגיע לכל מכשיר שבו החשבון הזה מחובר. Meta אומרת שהיא שחררה תיקון חם למחרת. לא דווח על תקיפה בעולם האמיתי. הרשומה של הארכיון עצמו על החשיפה, עם דירוג החומרה והמקורות המצוטטים שלה, נמצאת ב-ארכיון תקלות ה-AI לצד שאר הרשומות בנושא פגיעויות סוכנים בסדרה הזו.

מה ההגדרה עושה, ולמה מפתח אחד הספיק

Wardle הוא מייסד שותף של העמותה Objective-See, כך מדווח The Register. Muse הוא הסוכן האישי של Meta, שהושק בארצות הברית מוקדם יותר בספטמבר 2026, ו-The Hacker News מדווח שלאחר שמשתמש מפעיל אותו, הוא יכול לפעול across הקבצים, הדוא"ל, ההודעות, היומן, אפליקציות הקניות והבית החכם שלהם, תוך שימוש בכל גישה שהאדם בוחר להעניק לו. הממצא של Wardle אינו נמצא ברשימת הגישות הזו. הוא נמצא בצנרת שמתחתיה: אפליקציית ה-Mac כוללת הגדרה שמנתבת שמע הכתבה אל מחוץ למכשיר, והכתובת שאליה היא מנתבת מאוחסנת במקום שבו מערכת ההפעלה אינה מגנה עליה מפני תוכנות אחרות שפועלות באותו משתמש.

במילותיו של המאגר עצמו, הוכחת ההיתכנות מדגימה ש"תוקף מקומי או תוכנה זדונית יכולים לשנות את נקודת הקצה הזו ללא הרשאות מיוחדות", ולאחר מכן "ניתן לשלוח הנחיות שהוכתבו אל נקודת קצה הנשלטת בידי התוקף". המאגר מפרט מה הדבר עשוי לאפשר: לכידת אודיו והנחיות שהוכתבו, הזרקת הנחיות אל Muse, גניבת חומרי אימות של Muse, וניצול לרעה של כל גישה שהמשתמש העניק לאפליקציה. הוא מסכם את התוצאה בשורה אחת: "הגישה של Muse עשויה להפוך לגישתו של התוקף." הוכחת ההיתכנות מיישמת את מה שה-README שלה מכנה תת-קבוצה מתוך יותר מ-50 הפקודות ש-Muse חושף.

הרצף ש-The Hacker News מתאר הוא מכני. תוכנית שהתוקף מריץ על אותו Mac משכתבת את ההעדפה, ואז ממתינה. המשתמש מקיש על המיקרופון ומדבר. השמע והטקסט הנובע ממנו עוברים לתוכנית של התוקף ולא ל-Meta. מעמדה זו Wardle הדגים שלושה דברים: קריאת מה שהמשתמש הכתיב, הוספת הוראות נוספות ש-Muse סומך עליהן ופועל לפיהן — האתר מתאר את ההשפעה כהזרקת פרומפט — ולכידת הטוקן שמשמש לכניסה לחשבון ה-Muse של המשתמש.

אסימון, וכל מכשיר שמאחוריו

הטוקן הוא החלק שיוצא מה-Mac. Hacker News מדווח ש-Muse שולח את טוקן האימות שלו יחד עם ההכתבה המופנית מחדש, כך שאותו מאזין שתופס את התמלול תופס גם את פרטי האימות. באמצעותו, אומר וורדל, תוקף יכול לקרוא את היסטוריית הצ'אט של החשבון ולתת לעוזר פקודות ישירות — ומכיוון שאפשר להיות מחובר לחשבון Muse בכמה מכשירים, הפקודות האלה אינן מוגבלות למחשב שנפרץ.

וורדל הר�יץ את החלק הזה על החומרה שלו. מה-Mac הוא הנחה את אפליקציית Muse באייפון שלו לדווח את מיקומה המדויק, להפעיל סריקת Bluetooth של מכשירים סמוכים, ולפרט את פקודות הבית החכם שהיא יכולה לשלוח. The Hacker News מוסיף סייג אחד להדגמה: בבדיקות שלו העוזר רק ניסח הודעות במקום לשלוח אותן בעצמו.

זו הטענה שבעד התייחסות לבאג כאל יותר מדליפת הכתבה קולית. The Register מדווח על האופן שבו וורדל מנסח את הבעיה הכללית — ש-macOS נבנתה כדי למנוע מתוכנית אחת לקרוא את הנתונים של אחרת, ושסוכן שקיבל גישה רחבה הופך לנקודת כשל יחידה עבור בקרות אלו. "רק מפני ששכן רע עובר לגור לא אומר שאותו שכן מקבל אוטומטית גישה לכל הדירות," אמר ל-The Register. עוזר שניתנו לו המפתחות הוא עניין אחר.

מה זה לא עושה

שלוש מגבלות מפורטות במקורות והן חשובות לכל מי שמעריך חשיפה. ראשית, הפגם אינו דרך להיכנס ל-Mac בעצמו: הוא דורש קוד שכבר פועל בתור המשתמש המחובר, ולכן המאגר של Wardle מכנה אותו "תקיפה מקומית", ו-Meta כינתה אותו מאוחר יותר "הסלמת הרשאות מקומית". שנית, הוא אינו שובר את בידוד האפליקציות של macOS — The Hacker News מדווח שהוא אינו חוצה את הגבול שמונע מאפליקציה אחת לקרוא סיסמאות ואסימונים שמורים של אפליקציה אחרת; האסימון של Muse עצמו נישא יחד עם ההכתבה המופנית מחדש, והתקיפה פועלת בכך שגורמים ל-Muse לפעול עם גישה שכבר יש לו. שלישית, הוא אינו מראה שעיצוב הענן של Meta, שאותו בנתה החברה כדי להשאיר את הסוכן של כל משתמש מופרד מאחרים, נשבר.

מה שזה כן מראה הוא מדוע ייתכן שאבטחת נקודות הקצה לא תבחין. The Hacker News מדווח על נקודתו של וורדל כי הפקודות מגיעות מ-Muse, אפליקציה חתומה רגילה, ולא ממשהו שנראה כמו תוכנה זדונית; The Register מתעד את אותה דאגה במילותיו, כי מוצר EDR אינו יכול לדעת אם פקודה הגיעה מהמשתמש, מהסוכן או מתוקף.

וורדל גם מייחס סיבה. The Register מדווח ש-Apple מספקת הכתבה מקומית במכשיר, ולהערכתו הפגיעות לא הייתה קיימת אילו Meta השתמשה ב-API הזה; הוא מרמז ש-Meta בחרה שלא לעשות זאת משום שהיא רוצה את הנתונים, ומוסיף: "אני חושב שמידה מסוימת של החמדנות שלהם לנתוני משתמשים פשוט פותחת את הדלת, מגדילה את משטח התקיפה." זוהי הסקה שלו לגבי המניע של Meta, לא עובדה מתועדת, ו-Meta לא הגיבה לכך בסיקור שנסקר כאן.

גילוי, התיקון החם, וויכוח על התווית

וורדל פרסם לציבור בלי לספר ל-Meta תחילה. Hacker News מדווח שהוא בחר בגילוי מלא כדי שמשתמשים יבינו את הסיכון וכי זו לעתים קרובות הדרך המהירה ביותר לתיקון. The Register, שראיין אותו, אומרת ש-Meta לא הגיבה מיד לבקשתה לתגובה.

התגובה הגיעה למחרת, והיא באה עם אפיון מצורף. בפוסט ברשתות החברתיות ב-22 בספטמבר, דיוויד סינגלטון מ-Meta Superintelligence Labs אמר כי אפליקציית Muse שונתה: "זה היה מתקפת הסלמת הרשאות מקומית, לא ניצול מרחוק. לכן, שימוש בה כדי לגרום נזק מחייב קוד זדוני שכבר פועל במחשב של המשתמש תחת חשבון המשתמש שלו, והסיכון המעשי למשתמשים באפליקציית Muse ל-Mac היה לפיכך נמוך למדי." בפוסט נוסף: "עם זאת, הוצאנו תיקון חם לאפליקציה כדי לטפל בבעיה."

בנקודה צרה אחת הצדדים חלוקים, והמחלוקת היא בשאלת סיווג ולא מנגנון. הצהרתו של סינגלטון נשענת על הדרישה לקוד מקומי קיים. וורדל אמר ל-The Hacker News שתוקף מרוחק עדיין יכול להגיע לשם דרך תעלול ClickFix — הדפוס שמשכנע משתמש להדביק פקודה אחת ב-Terminal, בלי שום דבר להורדה או התקנה — מה שיספק את הביצוע המקומי שהניצול זקוק לו. אף מקור שנסקר עבור מאמר זה לא מדווח שמישהו אכן עשה זאת, ונתיב ה-ClickFix הוא אפשרות שהודגמה ולא קמפיין שנצפה.

מה שתיקון החירום משנה אינו פומבי. The Hacker News דיווח כי לא הצליח לאשר מה השינוי עושה וכי Meta לא פרסמה ייעוץ אבטחה; גם ברשומת הארכיון מצוין שלא פורסם ייעוץ. לפיכך, למשתמש Muse יש את דברה של Meta שהבעיה טופלה, אך אין מסמך המתאר כיצד.

מה מבוסס, ומה לא

הארכיון מדרג את הרשומה הזו בדירוג ודאות A — מתועדת היטב, עם מקורות ראשוניים שמסכימים זה עם זה — ואינו מסמן אותה כשנויה במחלוקת. דירוג זה אינו טענה שנגרם נזק: הרשומה מסמנת נזק ממשי כלא-נכון, ושום דבר בסיקור שנבחן אינו מתאר משתמש מותקף, חשבון שנגנב או קובץ שאבד. הראיות הן הוכחת היתכנות של חוקר, ההדגמות שלו עצמו, והצהרה של ספק.

• נקבע: אפליקציית Muse ל-macOS הכילה העדפה לא מתועדת בשם endo_voyager_dictation_endpoint ששלטה על היכן שההכתבה נשלחת, ותהליך שרץ כמשתמש המחובר יכול היה לשכתב אותה ללא הרשאות מוגברות, לפי המאגר של Wardle ושני כלי התקשורת.

• נקבע: הפניית נקודת הקצה הזו שלחה את שמע ההכתבה והתמלול לכתובת בשליטת תוקף, ואסימון האימות של Muse נסע יחד איתה, לפי The Hacker News.

• הוכח: אסימון שהושג בדרך זו יכול להפעיל את Muse במכשירים אחרים המחוברים לאותו חשבון; וורדל הדגים דיווח מיקום, סריקת Bluetooth ורשימת פקודות לבית חכם באייפון שלו, לפי The Hacker News.

• נקבע: התקיפה חייבה הרצת קוד כמשתמש, לא הביסה את בידוד היישומים של macOS, ולא פרצה את ההפרדה בענן של Meta, לפי The Hacker News ומאגר הנתונים של Wardle.

• נקבע: וורדל חשף ללא יידוע מוקדם של Meta, ו-Meta מסרה ב-22 בספטמבר שהוציאה תיקון מהיר, לפי The Register ו-The Hacker News.

• לא נקבע: מה שינה ה-hotfix, האם ההעדפה עדיין קיימת בגרסאות הנוכחיות, והאם נתיב ClickFix שורד אותו. לא מופיעים ייעוץ, יומן שינויים או רשומת CVE המתארים את התיקון בסיקור שנבדק.

• לא הוכח: אם מישהו היה ממוקד בשטח, והאם הפגיעות הייתה נגישה בכל פלטפורמה מלבד אפליקציית macOS. כל הדגמה שתועדה הורצה על המכונות של Wardle עצמו.

• לא הוכח:שעתוק בלתי תלוי. שני כלי התקשורת דיווחו על הממצא, ו-The Register ראיין את Wardle בטלפון, אך אף צד שלישי לא פרסם בדיקה משלו של ההפניה, ו-Meta לא תיארה את הפגם במילותיה שלה מעבר לסיווג של Singleton.

העצה הזמנית, ומה שאפשר להכליל

בעוד שהתיקון לא אומת, The Hacker News פרסם רשימה קצרה של אמצעי זהירות למשתמשי Mac, וכדאי לתעד אותה משום שהיא ממפה את החשיפה במדויק. צאו מ-Muse או הסירו אותו, מה שסוגר את הנתיב לחלוטין. בדקו את האפליקציות וההרשאות שיש ל-Muse, ובטלו כל דבר שהוא אינו זקוק לו, כדי שסוכן שנחטף יירש פחות. התייחסו לחשבון Muse ולחשבונות המחוברים אליו כאל חשופים אם ייתכן שה-Mac כבר נפרץ, ושנו את הסיסמאות האלה. הימנעו מקלט קולי של Muse, שהוא הטריגר הספציפי שהוכחת ההיתכנות ממתינה לו. ואל תריצו פקודות שאתר או הודעה מורה לכם להדביק ב-Terminal, משום שכך מתחיל נתיב ClickFix.

הממצא הניתן להעברה קטן יותר מ"ה־AI אינה מאובטחת" וחד יותר מ"תטלאו את האפליקציות שלכם". השימושיות של סוכן ורדיוס הנזק שלו הם אותו מספר: ההרשאות שמאפשרות ל-Muse לקרוא קבצים ולשלוח הודעות הן ההרשאות שתוקף יורש כשמכוונים אותו, ואף בקרה שהוא עבר לא הובסה בעצמה. macOS שמרה על גבול האפליקציה שלה, הענן של Meta שמר על ההפרדה שלו, והאסימון לא נלקח מ־Keychain. העדפה שאמורה הייתה להיות חסרת השפעה נשאה משקל, והיא ישבה מחוץ לכל שכבה שנבנתה כדי לשמור על הנתונים שאליהם היא הצביעה. הסיכום של Wardle עצמו את פשרת התכנון, שמסר ל-The Register, הוא זה שישרוד את התיקון: "הם סופר נוחים וסופר מעצימים. אבל יש להם כל כך הרבה גישה אם מגדירים אותם כך שיהיו שימושיים. הם בעצם יכולים לעשות הכול במחשב שלכם."