Una sola impostazione non documentata è bastata per trasformare Muse di Meta in una backdoor per la dettatura

Il 21 settembre 2026 il ricercatore di sicurezza Patrick Wardle ha pubblicato un proof-of-concept chiamato not-a-mused che dimostra come una preferenza non documentata all'interno dell'assistente Muse di Meta per macOS decida dove l'app invia ciò che si detta. La chiave è endo_voyager_dictation_endpoint, e qualsiasi processo in esecuzione come utente connesso può riscriverla senza password di amministratore né alcun avviso di macOS. Puntala verso un indirizzo controllato dall'attaccante e l'audio e la trascrizione di Muse finiscono lì invece che a Meta; Wardle ha dimostrato che un attaccante può quindi leggere la dettatura, iniettare istruzioni che Muse obbedisce e sottrarre un token che consente di accedere all'account Muse dell'utente, raggiungendo ogni dispositivo su cui quell'account è connesso. Meta afferma di aver rilasciato un hotfix il giorno successivo. Non è stato segnalato alcun attacco nel mondo reale. Il registro stesso dell'archivio relativo alla divulgazione, con la sua classificazione di gravità e le fonti citate, si trova in l'archivio degli incidenti AI insieme alle altre voci sulle vulnerabilità degli agenti di questa serie.

Cosa fa l'impostazione e perché una sola chiave è bastata

Wardle è co-fondatore dell'organizzazione no-profit Objective-See, riferisce The Register. Muse è l'agente personale di Meta, lanciato negli Stati Uniti all'inizio di settembre 2026, e The Hacker News riporta che, una volta attivato dall'utente, può operare sui suoi file, email, messaggi, calendario, app per lo shopping e la casa intelligente, usando qualunque accesso la persona scelga di concedergli. La scoperta di Wardle non riguarda quell'elenco di accessi. Riguarda i meccanismi sottostanti: l'app per Mac include un'impostazione che instrada l'audio della dettatura fuori dal dispositivo, e l'indirizzo verso cui lo instrada è memorizzato in un punto che il sistema operativo non protegge da altri programmi in esecuzione con lo stesso utente.

Nelle parole del repository stesso, il proof-of-concept dimostra che «un attaccante locale o un malware può modificare questo endpoint senza privilegi speciali», dopodiché «prompt dettati possono essere inviati a un endpoint controllato dall’attaccante». Il repository elenca ciò che questo potenzialmente consente: acquisizione di audio e prompt dettati, prompt injection in Muse, furto del materiale di autenticazione di Muse e abuso di qualsiasi accesso l’utente abbia concesso all’app. Riassume la conseguenza in una riga: «L’accesso di Muse può potenzialmente diventare l’accesso dell’attaccante». Il proof-of-concept implementa quello che il suo README definisce un sottoinsieme degli oltre 50 comandi esposti da Muse.

La sequenza descritta da The Hacker News è meccanica. Un programma che l'attaccante esegue sullo stesso Mac riscrive la preferenza, poi aspetta. L'utente tocca il microfono e parla. L'audio e il testo risultante finiscono nel programma dell'attaccante anziché a Meta. Da quella posizione, Wardle ha dimostrato tre cose: leggere ciò che l'utente ha dettato, aggiungere istruzioni extra di cui Muse si fida e su cui agisce — la testata descrive l'effetto come prompt injection — e catturare il token che consente l'accesso all'account Muse dell'utente.

Un token, e ogni dispositivo che vi sta dietro

Il token è la parte che lascia il Mac. The Hacker News riporta che Muse invia il proprio token di autenticazione insieme alla dettatura reindirizzata, quindi lo stesso listener che cattura la trascrizione cattura anche la credenziale. Con esso, afferma Wardle, un attaccante può leggere la cronologia delle chat dell'account e impartire ordini direttamente all'assistente — e poiché un account Muse può essere connesso su più dispositivi, tali ordini non sono limitati alla macchina compromessa.

{{1}}Wardle{{/1}} ha eseguito quella parte sul proprio hardware. Dal {{2}}Mac{{/2}} ha impartito all'app {{3}}Muse{{/3}} sul suo {{4}}iPhone{{/4}} l'ordine di riportare la sua posizione esatta, eseguire una scansione Bluetooth dei dispositivi nelle vicinanze ed elencare i comandi per la casa intelligente che poteva inviare. The {{5}}Hacker News{{/5}} aggiunge un limite alla dimostrazione: nei suoi test l'assistente si è limitato a redigere i messaggi anziché inviarli autonomamente.

Questo è l'argomento per considerare il bug qualcosa di più di una fuga di dati della dettatura. The Register riporta il modo in cui Wardle inquadra il problema generale — ovvero che macOS è stato costruito per impedire a un programma di leggere i dati di un altro, e che un agente a cui è stato concesso un accesso ampio diventa un unico punto di fallimento per quei controlli. "Solo perché si trasferisce un vicino indesiderato non significa che quel vicino abbia automaticamente accesso a tutti gli appartamenti", ha detto a The Register. Un assistente a cui sono state date le chiavi è una questione diversa.

Cosa non fa

Le fonti indicano tre limiti, che contano per chiunque debba valutare l'esposizione. Innanzi tutto, la falla non è di per sé un modo per entrare in un Mac: richiede codice già in esecuzione come utente connesso, ed è per questo che il repository di Wardle la definisce "un attacco locale" e Meta in seguito l'ha definita un'escalation locale dei privilegi. In secondo luogo, non aggira l'isolamento delle applicazioni di macOS — The Hacker News riporta che non supera il confine che impedisce a un'app di leggere password e token salvati di un'altra app; il token di Muse viaggia insieme alla dettatura reindirizzata, e l'attacco funziona inducendo Muse ad agire con accessi che già possiede. In terzo luogo, non dimostra che il design cloud di Meta, che l'azienda ha realizzato per mantenere l'agente di ciascun utente isolato dagli altri, sia stato compromesso.

Ciò che mostra è perché la sicurezza degli endpoint potrebbe non accorgersene. The Hacker News riporta l'osservazione di Wardle secondo cui i comandi arrivano da Muse, una normale applicazione firmata, anziché da qualcosa che sembra malware; The Register registra la stessa preoccupazione nelle sue parole, ovvero che un prodotto EDR non può distinguere se un comando provenga dall'utente, dall'agente o da un attaccante.

Wardle ne attribuisce anche una causa. The Register riporta che Apple fornisce la dettatura sul dispositivo e che, secondo la sua valutazione, la vulnerabilità non esisterebbe se Meta avesse usato quell'API; suggerisce che Meta abbia scelto di non farlo perché vuole i dati, e aggiunge: «Penso che una certa loro avidità di dati utente apra in un certo senso la porta, rendendo la superficie d'attacco più ampia». Questa è la sua inferenza sul movente di Meta, non un fatto documentato, e Meta non ha risposto a ciò nella copertura esaminata qui.

Divulgazione, la hotfix e una discussione sull'etichetta

Wardle ha reso pubblica la vicenda senza avvisare prima Meta. The Hacker News riferisce che ha scelto la divulgazione completa affinché gli utenti comprendessero il rischio e perché spesso è la via più rapida per arrivare a una correzione. The Register, che lo ha intervistato, afferma che Meta non ha risposto immediatamente alla sua richiesta di commento.

La risposta arrivò il giorno successivo, corredata da una caratterizzazione. In un post sui social media del 22 settembre, David Singleton di Meta Superintelligence Labs ha affermato che l'app Muse era stata modificata: «Si è trattato di un attacco locale di escalation dei privilegi, non di un exploit remoto. Usarlo per fare del male richiede quindi che del codice malevolo sia già in esecuzione sulla macchina dell'utente con il suo account utente, e il rischio pratico per gli utenti dell'app Muse per Mac era pertanto piuttosto basso». Il post aggiungeva: «Tuttavia, abbiamo rilasciato un hotfix per l'app per risolvere il problema».

Su un punto ristretto le due parti non sono d'accordo, e il disaccordo riguarda la classificazione più che il meccanismo. L'affermazione di Singleton si basa sul requisito di codice locale esistente. Wardle ha detto a The Hacker News che un attaccante remoto potrebbe comunque arrivarci tramite un trucco ClickFix — lo schema che convince un utente a incollare un singolo comando in Terminal, senza nulla da scaricare o installare — che fornirebbe l'esecuzione locale necessaria all'exploit. Nessuna fonte esaminata per questo articolo riferisce che qualcuno lo abbia effettivamente fatto, e la via ClickFix è una possibilità dimostrata anziché una campagna osservata.

Non è pubblico cosa cambi l'hotfix. The Hacker News ha riferito di non essere riuscita a confermare quale sia l'effetto della modifica e che Meta non aveva pubblicato un avviso di sicurezza; anche il registro dell'archivio rileva che non è stato emesso alcun avviso. Un utente di Muse ha quindi solo la parola di Meta che il problema è stato risolto, e nessun documento che descriva come.

Che cosa è stabilito e che cosa non lo è

L'archivio assegna a questa scheda il grado di confidenza A — ben documentata, con fonti primarie concordanti — e non la segnala come contestata. Tale classificazione non equivale a sostenere che si sia verificato un danno: la scheda indica il danno reale come falso, e nulla di quanto esaminato nella documentazione descrive un utente attaccato, un account rubato o un file perduto. Le prove consistono in un proof-of-concept di un ricercatore, nelle sue stesse dimostrazioni e in una dichiarazione del fornitore.

• Stabilito: l'app Muse per macOS aveva una preferenza non documentata chiamata endo_voyager_dictation_endpoint che controllava dove veniva inviata la dettatura, e un processo in esecuzione come utente connesso poteva riscriverla senza privilegi elevati, secondo il repository di Wardle ed entrambe le testate.

• Accertato: reindirizzare quell'endpoint inviava l'audio della dettatura e la trascrizione a un indirizzo controllato da un attaccante, e il token di autenticazione di Muse viaggiava insieme ad essi, secondo The Hacker News.

• Stabilito: un token ottenuto in quel modo potrebbe controllare Muse su altri dispositivi connessi allo stesso account; Wardle ha dimostrato la segnalazione della posizione, una scansione Bluetooth e un elenco di comandi per la smart home sul suo iPhone, secondo The Hacker News.

• Stabilito: l'attacco richiedeva l'esecuzione di codice come utente, non ha aggirato l'isolamento delle applicazioni macOS e non ha violato la separazione cloud di Meta, secondo The Hacker News e il repository di Wardle.

• Accertato: Wardle ha divulgato senza preavvisare Meta, e Meta ha dichiarato il 22 settembre di aver rilasciato un hotfix, secondo The Register e The Hacker News.

• Non stabilito: che cosa ha modificato l'hotfix, se la preferenza esiste ancora nelle build correnti e se il percorso ClickFix sopravvive. Nessun avviso, changelog o voce CVE che descriva la correzione compare nella copertura esaminata.

• Non stabilito: se qualcuno sia stato preso di mira in ambienti reali e se la vulnerabilità fosse raggiungibile su piattaforme diverse dall'app macOS. Tutte le dimostrazioni documentate sono state eseguite sulle macchine di Wardle stesso.

• Non confermato: riproduzione indipendente. Entrambe le testate hanno riportato la scoperta e The Register ha intervistato Wardle per telefono, ma nessuna terza parte ha pubblicato un proprio test del reindirizzamento, e Meta non ha descritto la falla con parole proprie al di là della classificazione di Singleton.

Il parere provvisorio e ciò che è generalizzabile

Mentre la correzione non era confermata, The Hacker News ha pubblicato un breve elenco di precauzioni per gli utenti Mac, e vale la pena registrarlo perché mappa con precisione l’esposizione. Chiudi o rimuovi Muse, il che chiude del tutto il percorso. Esamina le app e le autorizzazioni di cui dispone Muse e revoca tutto ciò che non è necessario, così che un agente dirottato erediti meno. Considera l’account Muse e gli account a esso collegati come esposti se il Mac potrebbe essere già compromesso, e cambia quelle password. Evita l’input vocale di Muse, che è il trigger specifico che il proof-of-concept attende. E non eseguire comandi che un sito web o un messaggio ti dice di incollare in Terminal, perché è così che inizia il percorso di ClickFix.

La scoperta trasferibile è più circoscritta di «l'AI è insicura» e più incisiva di «applica le patch alle tue app». L'utilità di un agente e il suo raggio d'impatto sono la stessa cifra: i permessi che consentono a Muse di leggere file e inviare messaggi sono gli stessi che un attaccante eredita pilotandolo, e nessuno dei controlli che ha superato è stato a sua volta violato. macOS ha mantenuto il confine della propria app, il cloud di Meta ha mantenuto la sua separazione, e il token non è stato prelevato da un portachiavi. Una preferenza che sarebbe dovuta essere inerte era portante, e si trovava al di fuori di ogni livello costruito per proteggere i dati a cui puntava. La sintesi dello stesso Wardle sul compromesso di progettazione, rilasciata a The Register, è quella che sopravvive alla patch: «Sono super comode e danno molto potere. Ma hanno così tanto accesso se le configuri per essere utili. In pratica potrebbero fare qualsiasi cosa sul tuo computer.»