Satu Pengaturan Tak Terdokumentasi Cukup untuk Mengubah Muse Milik Meta Menjadi Pintu Belakang Dikte

Pada 21 September 2026, peneliti keamanan Patrick Wardle menerbitkan proof-of-concept bernama not-a-mused yang menunjukkan bahwa satu preferensi tak terdokumentasi di dalam asisten Muse milik Meta untuk macOS menentukan ke mana aplikasi mengirim apa yang Anda diktekan. Kuncinya adalah endo_voyager_dictation_endpoint, dan proses apa pun yang berjalan sebagai pengguna yang sudah login dapat menulis ulangnya tanpa kata sandi administrator atau prompt macOS. Arahkan ke alamat yang dikendalikan penyerang dan audio serta transkrip Muse akan pergi ke sana alih-alih ke Meta; Wardle menunjukkan penyerang kemudian dapat membaca dikte, menyuntikkan instruksi yang dipatuhi Muse, dan mengambil token yang dipakai untuk masuk ke akun Muse pengguna — menjangkau setiap perangkat tempat akun itu sudah login. Meta mengatakan mereka mengirim hotfix pada hari berikutnya. Belum ada serangan di dunia nyata yang dilaporkan. Catatan arsip itu sendiri tentang pengungkapan ini, beserta penilaian tingkat keparahannya dan sumber yang dikutip, berada di arsip insiden AI bersama entri kerentanan agen lainnya dalam seri ini.

Apa fungsi pengaturan ini, dan mengapa satu kunci sudah cukup

Wardle adalah salah satu pendiri nirlaba Objective-See, menurut laporan The Register. Muse adalah agen personal Meta, yang diluncurkan di Amerika Serikat pada awal September 2026, dan The Hacker News melaporkan bahwa setelah pengguna mengaktifkannya, agen itu dapat bekerja di seluruh file, email, pesan, kalender, aplikasi belanja, dan aplikasi rumah pintar mereka, menggunakan akses apa pun yang dipilih pengguna untuk diberikannya. Temuan Wardle bukanlah pada daftar akses itu. Temuan itu ada pada lapisan dasar di bawahnya: aplikasi Mac menyertakan pengaturan yang mengalihkan audio dikte keluar dari perangkat, dan alamat tujuan pengalihannya disimpan di tempat yang tidak dilindungi sistem operasi dari program lain yang berjalan sebagai pengguna yang sama.

Dalam kata-kata repositori itu sendiri, proof-of-concept ini menunjukkan bahwa "penyerang lokal atau malware dapat memodifikasi endpoint ini tanpa hak istimewa khusus," setelah itu "prompt yang didiktekan dapat dikirim ke endpoint yang dikendalikan penyerang." Repositori tersebut mencantumkan apa yang berpotensi dimungkinkan oleh hal itu: penangkapan audio dan prompt yang didiktekan, injeksi prompt ke Muse, pencurian materi autentikasi Muse, dan penyalahgunaan akses apa pun yang telah diberikan pengguna kepada aplikasi tersebut. Repositori itu merangkum konsekuensinya dalam satu baris: "Akses Muse berpotensi menjadi akses penyerang." Proof-of-concept tersebut mengimplementasikan apa yang disebut README-nya sebagai subset dari 50 lebih perintah yang diekspos Muse.

Urutan yang dijelaskan The Hacker News bersifat mekanis. Sebuah program yang dijalankan penyerang di Mac yang sama menulis ulang preferensi, lalu menunggu. Pengguna mengetuk mikrofon dan berbicara. Audio dan teks yang dihasilkan masuk ke program penyerang, bukan ke Meta. Dari posisi itu, Wardle mendemonstrasikan tiga hal: membaca apa yang didiktekan pengguna, menambahkan instruksi tambahan yang dipercaya dan dijalankan oleh Muse — media tersebut menyebut efeknya sebagai prompt injection — dan menangkap token yang digunakan untuk masuk ke akun Muse pengguna.

Sebuah token, dan setiap perangkat di belakangnya

Token itu adalah bagian yang keluar dari Mac. The Hacker News melaporkan bahwa Muse mengirim token autentikasinya bersama dikte yang dialihkan, sehingga listener yang sama yang menangkap transkrip juga menangkap kredensial tersebut. Dengan itu, kata Wardle, penyerang dapat membaca riwayat chat akun dan memberi perintah langsung kepada asisten — dan karena akun Muse dapat masuk di beberapa perangkat, perintah tersebut tidak terbatas pada mesin yang telah dikompromikan.

Wardle menjalankan bagian itu pada perangkat kerasnya sendiri. Dari Mac, ia mengarahkan aplikasi Muse di iPhone-nya untuk melaporkan lokasi persisnya, menjalankan pemindaian Bluetooth terhadap perangkat di sekitarnya, dan mendaftar perintah rumah pintar yang bisa dikirimnya. The Hacker News menambahkan satu batasan pada demonstrasi tersebut: dalam pengujiannya, asisten itu hanya menyusun draf pesan, bukan mengirimkannya sendiri.

Itu adalah argumen untuk memperlakukan bug ini sebagai lebih dari sekadar kebocoran dikte. The Register melaporkan cara Wardle membingkai masalah umum — bahwa macOS dibangun untuk mencegah satu program membaca data program lain, dan bahwa agen yang telah diberi akses luas menjadi satu titik kegagalan tunggal bagi kendali-kendali tersebut. “Hanya karena tetangga yang buruk pindah masuk bukan berarti tetangga itu otomatis memiliki akses ke semua apartemen,” katanya kepada The Register. Asisten yang telah diberi kunci adalah persoalan yang berbeda.

Apa yang tidak dilakukannya

Tiga batasan dinyatakan dalam sumber-sumber dan penting bagi siapa pun yang menilai paparan. Pertama, cacat ini bukanlah cara masuk ke Mac dengan sendirinya: ia memerlukan kode yang sudah berjalan sebagai pengguna yang login, itulah sebabnya repositori Wardle menyebutnya "serangan lokal" dan Meta kemudian menyebutnya eskalasi hak istimewa lokal. Kedua, ini tidak mengalahkan isolasi aplikasi macOS — The Hacker News melaporkan bahwa ini tidak melintasi batas yang mencegah satu aplikasi membaca kata sandi dan token tersimpan aplikasi lain; token Muse sendiri ikut terbawa bersama dikte yang dialihkan, dan serangan ini bekerja dengan membuat Muse bertindak menggunakan akses yang sudah dimilikinya. Ketiga, ini tidak menunjukkan bahwa desain cloud Meta, yang dibangun perusahaan untuk menjaga agen setiap pengguna terpisah dari yang lain, telah ditembus.

Yang ditunjukkannya adalah mengapa keamanan endpoint mungkin tidak menyadarinya. The Hacker News melaporkan pandangan Wardle bahwa perintah-perintah tersebut datang dari Muse, aplikasi bertanda tangan yang normal, bukan dari sesuatu yang tampak seperti malware; The Register mencatat kekhawatiran yang sama dalam kata-katanya, bahwa produk EDR tidak dapat mengetahui apakah suatu perintah berasal dari pengguna, agen, atau penyerang.

Wardle juga menetapkan penyebabnya. The Register melaporkan bahwa Apple menyediakan dikte di perangkat dan bahwa, menurut penilaiannya, kerentanan tersebut tidak akan ada jika Meta menggunakan API itu; ia menduga Meta memilih untuk tidak melakukannya karena menginginkan data tersebut, dan menambahkan: "Saya pikir sebagian keserakahan mereka akan data pengguna semacam membuka pintu, membuat permukaan serangan lebih besar." Itu adalah inferensinya tentang motif Meta, bukan fakta yang terdokumentasi, dan Meta belum menanggapi hal itu dalam liputan yang ditinjau di sini.

Pengungkapan, hotfix, dan argumen tentang label

Wardle mempublikasikan temuannya tanpa memberi tahu Meta terlebih dahulu. Hacker News melaporkan bahwa ia memilih pengungkapan penuh agar pengguna memahami risikonya dan karena itu sering kali merupakan jalur tercepat menuju perbaikan. The Register, yang mewawancarainya, menyebutkan bahwa Meta tidak langsung menanggapi permintaan komentar mereka.

Tanggapan itu datang keesokan harinya, dan disertai dengan sebuah karakterisasi. Dalam unggahan media sosial pada 22 September, David Singleton dari Meta Superintelligence Labs mengatakan aplikasi Muse telah direvisi: “Ini adalah serangan eskalasi hak istimewa lokal, bukan eksploitasi jarak jauh. Menggunakannya untuk menimbulkan kerugian karena itu memerlukan kode berbahaya yang sudah berjalan di mesin pengguna di bawah akun pengguna mereka, dan risiko praktis bagi pengguna aplikasi Muse Mac karena itu cukup rendah.” Unggahan tersebut menambahkan: “Meskipun demikian, kami telah menerbitkan hotfix untuk aplikasi tersebut guna mengatasi masalah ini.”

Pada satu poin sempit, kedua pihak tidak sepakat, dan ketidaksepakatan itu menyangkut klasifikasi, bukan mekanisme. Pernyataan Singleton bertumpu pada persyaratan adanya kode lokal yang sudah ada. Wardle mengatakan kepada The Hacker News bahwa penyerang jarak jauh masih bisa sampai ke sana melalui trik ClickFix — pola yang membujuk pengguna untuk menempelkan satu perintah ke Terminal, tanpa perlu mengunduh atau memasang apa pun — yang akan menyediakan eksekusi lokal yang dibutuhkan eksploit tersebut. Tidak ada sumber yang ditinjau untuk artikel ini yang melaporkan bahwa ada orang yang benar-benar melakukannya, dan jalur ClickFix adalah kemungkinan yang telah didemonstrasikan, bukan kampanye yang teramati.

Apa yang diubah oleh hotfix tidak dipublikasikan. The Hacker News melaporkan bahwa pihaknya tidak dapat memastikan apa fungsi perubahan tersebut dan bahwa Meta belum menerbitkan advisory keamanan; catatan arsip tersebut juga mencatat bahwa belum ada advisory yang diterbitkan. Oleh karena itu, pengguna Muse hanya memiliki pernyataan Meta bahwa masalah tersebut telah ditangani, tanpa dokumen yang menjelaskan caranya.

Apa yang sudah mapan, dan apa yang belum

Arsip memberi catatan ini nilai keyakinan A — terdokumentasi dengan baik, dengan sumber-sumber primer yang saling sesuai — dan tidak menandainya sebagai dipersengketakan. Penilaian itu bukan klaim bahwa kerugian telah terjadi: catatan tersebut menandai kerugian nyata sebagai salah, dan tidak ada apa pun dalam cakupan yang ditinjau yang menggambarkan pengguna yang diserang, akun yang dicuri, atau berkas yang hilang. Buktinya adalah proof-of-concept dari seorang peneliti, demonstrasinya sendiri, dan pernyataan vendor.

• Terkonfirmasi: aplikasi Muse macOS memiliki preferensi tak terdokumentasi bernama endo_voyager_dictation_endpoint yang mengendalikan ke mana dikte dikirim, dan sebuah proses yang berjalan sebagai pengguna yang sedang login dapat menulis ulangnya tanpa hak istimewa tambahan, menurut repositori Wardle dan kedua media tersebut.

• Terbukti: pengalihan endpoint tersebut mengirim audio dikte dan transkrip ke alamat yang dikendalikan penyerang, dan token autentikasi Muse ikut terbawa, menurut The Hacker News.

• Terbukti: token yang diperoleh dengan cara itu dapat mengendalikan Muse di perangkat lain yang masuk ke akun yang sama; Wardle mendemonstrasikan pelaporan lokasi, pemindaian Bluetooth, dan daftar perintah rumah pintar di iPhone miliknya sendiri, menurut The Hacker News.

• Ditetapkan: serangan tersebut memerlukan eksekusi kode sebagai pengguna, tidak mengalahkan isolasi aplikasi macOS, dan tidak menembus pemisahan cloud Meta, menurut The Hacker News dan repositori Wardle.

• Terkonfirmasi:Wardle mengungkapkan tanpa memberi tahu Meta terlebih dahulu, dan Meta menyatakan pada 22 September bahwa pihaknya telah merilis hotfix, menurut The Register dan The Hacker News.

• Belum dapat dipastikan: apa yang diubah oleh hotfix, apakah preferensi tersebut masih ada di build saat ini, dan apakah jalur ClickFix tetap bertahan setelahnya. Tidak ada advisory, changelog, atau entri CVE yang menjelaskan perbaikan tersebut dalam cakupan yang ditinjau.

• Belum dapat dipastikan:apakah ada orang yang ditargetkan di lapangan, dan apakah cacat tersebut dapat dijangkau pada platform apa pun selain aplikasi macOS. Setiap demonstrasi dalam catatan dijalankan pada mesin milik Wardle sendiri.

• Belum terbukti: reproduksi independen. Kedua media melaporkan temuan tersebut, dan The Register mewawancarai Wardle melalui telepon, tetapi belum ada pihak ketiga yang menerbitkan pengujiannya sendiri atas pengalihan tersebut, dan Meta belum menjelaskan cacat tersebut dengan kata-katanya sendiri selain klasifikasi Singleton.

Saran sementara, dan apa yang dapat digeneralisasikan

Saat perbaikannya belum dikonfirmasi, The Hacker News menerbitkan daftar singkat tindakan pencegahan bagi pengguna Mac, dan itu layak dicatat karena memetakan paparan secara tepat. Keluar dari Muse atau hapus Muse, yang menutup jalur itu sepenuhnya. Tinjau aplikasi dan izin yang dimiliki Muse dan cabut apa pun yang tidak diperlukan, sehingga agen yang dibajak mewarisi lebih sedikit. Anggap akun Muse dan akun-akun yang terhubung dengannya sebagai terekspos jika Mac mungkin sudah disusupi, dan ubah kata sandi tersebut. Hindari input suara Muse, yang merupakan pemicu spesifik yang ditunggu oleh proof-of-concept. Dan jangan menjalankan perintah yang disuruh situs web atau pesan untuk ditempelkan ke Terminal, karena dari situlah jalur ClickFix dimulai.

Temuan yang dapat digeneralisasi ini lebih sempit daripada “AI tidak aman” dan lebih tajam daripada “tambal aplikasi Anda.” Kebergunaan sebuah agen dan radius dampaknya adalah angka yang sama: izin yang memungkinkan Muse membaca file dan mengirim pesan adalah izin yang diwarisi penyerang dengan mengarahkannya, dan tidak ada kontrol yang berhasil dilaluinya yang kemudian dikalahkan. macOS mempertahankan batas aplikasinya, cloud Meta mempertahankan pemisahannya, dan token itu tidak diambil dari keychain. Preferensi yang seharusnya tidak berperan ternyata menjadi penopang penting, dan preferensi itu berada di luar setiap lapisan yang dibangun untuk menjaga data yang ditunjuknya. Ringkasan Wardle sendiri tentang trade-off desain, yang disampaikan kepada The Register, adalah yang bertahan lebih lama daripada patch: “Mereka sangat nyaman dan sangat memberdayakan. Tetapi mereka memiliki akses yang begitu besar jika Anda mengonfigurasinya agar berguna. Pada dasarnya mereka bisa melakukan apa saja di komputer Anda.”