문서화되지 않은 설정 하나가 메타의 Muse를 받아쓰기 백도어로 만들기에 충분했다

2026년 9월 21일 보안 연구원 패트릭 워들(Patrick Wardle)은 not-a-mused라는 개념 증명을 공개했으며, 이는 macOS용 Meta의 Muse 어시스턴트 내부의 문서화되지 않은 환경설정 하나가 앱이 사용자가 받아쓰는 내용을 어디로 보낼지 결정한다는 것을 보여줍니다. 핵심은 endo_voyager_dictation_endpoint이며, 로그인한 사용자 권한으로 실행되는 모든 프로세스가 관리자 암호나 macOS 프롬프트 없이 이를 다시 쓸 수 있습니다. 이를 공격자가 제어하는 주소로 지정하면 Muse의 오디오와 전사 내용이 Meta 대신 그곳으로 전송됩니다. 워들은 공격자가 그런 다음 받아쓰기 내용을 읽고, Muse가 따르는 지침을 주입하며, 사용자의 Muse 계정에 로그인하는 토큰을 빼낼 수 있음을 보여주었습니다. 이는 해당 계정이 로그인된 모든 기기에 도달합니다. Meta는 다음 날 핫픽스를 배포했다고 말합니다. 실제 공격이 보고된 바는 없습니다. 이 공개에 대한 아카이브 자체의 기록은 심각도 등급 및 인용 출처와 함께 AI 사고 아카이브에 있으며, 이 시리즈의 다른 에이전트 취약점 항목들과 나란히 있습니다.

이 설정이 하는 일과 키 하나로 충분했던 이유

Wardle은 비영리 단체 Objective-See의 공동 창립자라고 The Register가 보도했다. Muse는 Meta의 개인 에이전트로, 2026년 9월 초 미국에서 출시되었으며, The Hacker News에 따르면 사용자가 이를 켜면 자신의 파일, 이메일, 메시지, 캘린더, 쇼핑 및 스마트홈 앱 전반에서 작동할 수 있고, 사용자가 선택한 whatever access를 사용한다. Wardle의 발견은 그 접근 목록에 있지 않다. 그것은 그 아래의 배관 구조에 있다: Mac 앱은 받아쓰기 오디오를 기기 밖으로 전송하는 설정을 제공하며, 그 전송 주소는 운영 체제가 동일한 사용자로 실행되는 다른 프로그램으로부터 보호하지 않는 곳에 저장된다.

리포지토리 자체의 표현에 따르면, 이 개념 증명은 "로컬 공격자나 악성코드가 특별한 권한 없이 이 엔드포인트를 수정할 수 있다"는 점을 보여 주며, 그 후 "받아쓰기된 프롬프트를 공격자가 제어하는 엔드포인트로 보낼 수 있다." 리포지토리는 이것이 잠재적으로 허용하는 것을 나열한다. 받아쓰기 오디오와 프롬프트의 캡처, Muse에 대한 프롬프트 주입, Muse 인증 자료 탈취, 그리고 사용자가 앱에 부여한 모든 접근 권한의 악용이다. 이는 그 결과를 한 줄로 요약한다. "Muse의 접근 권한은 잠재적으로 공격자의 접근 권한이 될 수 있다." 이 개념 증명은 README에서 Muse가 노출하는 50개 이상의 명령 중 하위 집합이라고 부르는 것을 구현한다.

The Hacker News가 설명하는 절차는 기계적이다. 공격자가 동일한 Mac에서 실행하는 프로그램이 환경설정을 다시 작성한 다음 기다린다. 사용자가 마이크를 탭하고 말한다. 오디오와 그 결과 텍스트는 Meta가 아니라 공격자의 프로그램으로 전달된다. 그 위치에서 Wardle은 세 가지를 입증했다. 사용자가 구술한 내용을 읽는 것, Muse가 신뢰하고 실행하는 추가 지시를 삽입하는 것—해당 매체는 그 효과를 프롬프트 인젝션이라고 설명한다—그리고 사용자의 Muse 계정에 로그인하는 토큰을 탈취하는 것이다.

토큰 하나, 그리고 그 뒤에 있는 모든 기기

토큰은 Mac을 벗어나는 부분이다. Hacker News는 Muse가 리디렉션된 받아쓰기와 함께 인증 토큰을 전송한다고 보도한다. 따라서 전사 내용을 캡처하는 동일한 리스너가 자격 증명도 캡처한다. Wardle에 따르면 이를 이용해 공격자는 계정의 채팅 기록을 읽고 어시스턴트에게 직접 명령을 내릴 수 있다. 또한 Muse 계정은 여러 기기에서 로그인할 수 있기 때문에 그러한 명령은 침해된 기기에만 국한되지 않는다.

Wardle은 그 부분을 자신의 하드웨어에서 실행했다. 그는 Mac에서 iPhone의 Muse 앱이 정확한 위치를 보고하고, 주변 기기의 Bluetooth 스캔을 실행하고, 보낼 수 있는 스마트홈 명령을 나열하도록 지시했다. The Hacker News는 이 시연에 한 가지 한계를 덧붙인다: 그의 테스트에서 어시스턴트는 메시지를 스스로 보내지 않고 초안만 작성했다.

그것이 이 버그를 단순한 받아쓰기 유출 이상으로 다뤄야 하는 이유다. The Register는 Wardle이 일반적인 문제를 어떻게 규정했는지 보도한다 — macOS는 한 프로그램이 다른 프로그램의 데이터를 읽는 것을 막도록 만들어졌으며, 광범위한 접근 권한을 부여받은 에이전트는 그러한 통제 장치들의 단일 실패 지점이 된다는 것이다. "나쁜 이웃이 이사 왔다고 해서 그 이웃이 자동으로 모든 아파트에 접근할 수 있는 것은 아니다"라고 그는 The Register에 말했다. 열쇠를 받은 어시스턴트는 상황이 다르다.

그것이 하지 않는 것

출처에는 세 가지 한계가 제시되어 있으며, 이는 노출을 평가하는 누구에게나 중요하다. 첫째, 이 결함은 그 자체로 Mac에 침입하는 경로가 아니다. 로그인한 사용자 권한으로 이미 실행 중인 코드가 필요하다. 그래서 Wardle의 저장소는 이를 "로컬 공격"이라고 표시했고 Meta는 나중에 이를 로컬 권한 상승이라고 불렀다. 둘째, 이는 macOS 애플리케이션 격리를 무력화하지 않는다. The Hacker News는 이것이 한 앱이 다른 앱의 저장된 비밀번호와 토큰을 읽지 못하게 막는 경계를 넘지 않는다고 보도한다. Muse 자체의 토큰은 리디렉션된 받아쓰기와 함께 전달되며, 공격은 Muse가 이미 가진 접근 권한으로 행동하도록 만드는 방식으로 작동한다. 셋째, 회사가 각 사용자의 에이전트를 다른 사용자로부터 격리하기 위해 구축한 Meta의 클라우드 설계가 무너졌음을 보여주지는 않는다.

이것이 실제로 보여주는 것은 엔드포인트 보안이 왜 알아차리지 못할 수 있는지이다. Hacker News는 명령이 맬웨어처럼 보이는 무언가가 아니라 정상적으로 서명된 애플리케이션인 Muse에서 도착한다는 Wardle의 지적을 보도한다; The Register는 EDR 제품이 명령이 사용자, 에이전트, 공격자 중 누구로부터 왔는지 구분할 수 없다는 동일한 우려를 그의 말로 기록한다.

워들 또한 원인을 지목한다. The Register는 애플이 기기 내 받아쓰기를 제공하며, 그의 평가에 따르면 메타가 그 API를 사용했다면 취약점은 존재하지 않았을 것이라고 보도한다. 그는 메타가 데이터를 원하기 때문에 그렇게 하지 않기로 선택했다고 시사하며 다음과 같이 덧붙인다. "내 생각에 사용자 데이터에 대한 그들의 탐욕이 어느 정도 문을 열어주고, 공격 표면을 더 크게 만든다." 그것은 메타의 동기에 대한 그의 추론일 뿐 문서로 확인된 사실이 아니며, 여기서 검토한 보도에서 메타는 이에 대해 응답하지 않았다.

공개, 핫픽스, 그리고 레이블에 관한 논쟁

워들은 메타에 먼저 알리지 않고 공개했다. 해커 뉴스는 그가 사용자들이 위험을 이해할 수 있도록, 그리고 그것이 흔히 가장 빠른 해결 경로이기 때문에 완전 공개를 택했다고 보도했다. 그를 인터뷰한 더 레지스터는 메타가 논평 요청에 즉시 응답하지 않았다고 전했다.

대응은 다음 날 나왔고, 그와 함께 사안을 규정하는 설명도 붙었다. 9월 22일 Meta Superintelligence Labs의 David Singleton은 소셜 미디어 게시물에서 Muse 앱이 수정되었다고 말했다. "이것은 원격 익스플로이트가 아니라 로컬 권한 상승 공격이었습니다. 따라서 이를 악용해 피해를 입히려면 사용자 계정으로 사용자의 기기에서 이미 실행 중인 악성 코드가 필요하며, Muse Mac 앱 사용자에게 실제 위험은 따라서 상당히 낮았습니다." 게시물은 덧붙였다. "그럼에도 불구하고, 우리는 문제를 해결하기 위해 앱에 핫픽스를 배포했습니다."

한 가지 좁은 쟁점에서 양측은 의견이 갈리는데, 그 불일치는 메커니즘보다는 분류에 관한 것이다. Singleton의 발언은 기존 로컬 코드가 필요하다는 전제에 근거한다. Wardle은 The Hacker News에 원격 공격자가 ClickFix 기법을 통해 여전히 거기에 도달할 수 있다고 말했다. 이는 다운로드하거나 설치할 것 없이 사용자를 설득해 Terminal에 단일 명령을 붙여 넣게 만드는 방식으로, 익스플로잇에 필요한 로컬 실행을 제공하게 된다. 이 기사에서 검토한 어떤 출처도 실제로 누군가 그렇게 했다고 보고하지 않았으며, ClickFix 경로는 관찰된 캠페인이 아니라 입증된 가능성이다.

핫픽스가 무엇을 변경하는지는 공개되지 않았다. Hacker News는 그 변경이 어떤 역할을 하는지 확인할 수 없었고 Meta가 보안 권고문을 게시하지 않았다고 보도했다. 아카이브의 기록 역시 어떤 권고문도 발행되지 않았다고 언급한다. 따라서 Muse 사용자는 해당 문제가 해결되었다는 Meta의 말만 있을 뿐, 어떻게 해결되었는지 설명하는 문서는 없다.

무엇이 확립되었고, 무엇이 그렇지 않은가

아카이브는 이 기록에 신뢰도 A 등급을 부여합니다 — 일치하는 1차 자료와 함께 잘 문서화되어 있으며 — 분쟁 대상으로 표시하지 않습니다. 그 등급은 피해가 발생했다는 주장이 아닙니다: 기록은 실제 피해를 거짓으로 표시하며, 검토된 보도 내용 어디에도 공격받은 사용자, 탈취된 계정 또는 손실된 파일에 대한 설명은 없습니다. 증거는 한 연구자의 개념 증명, 그 자신의 시연들, 그리고 공급업체의 성명입니다.

• 확인된 사실: Muse macOS 앱에는 문서화되지 않은 환경설정이 있었는데 그 이름은 endo_voyager_dictation_endpoint이며, Wardle의 저장소와 두 매체에 따르면 이 설정은 받아쓰기가 전송되는 위치를 제어했고 로그인한 사용자로 실행되는 프로세스가 관리자 권한 없이 이를 변경할 수 있었다.

• 확인된 사실:The Hacker News에 따르면, 해당 엔드포인트를 리디렉션하면 받아쓰기 오디오와 전사본이 공격자가 제어하는 주소로 전송됐으며, Muse의 인증 토큰도 함께 전달됐다.

• 확인된 사실:그런 방식으로 얻은 토큰은 같은 계정으로 로그인한 다른 기기에서 Muse를 조작할 수 있다. The Hacker News에 따르면 Wardle은 자신의 iPhone에서 위치 보고, 블루투스 스캔, 스마트홈 명령 목록을 시연했다.

• 확인된 사실: 이 공격은 사용자 권한으로 코드 실행이 필요했고, macOS 애플리케이션 격리를 우회하지 못했으며, Meta의 클라우드 분리를 침해하지도 않았다고 The Hacker News와 Wardle의 저장소가 전했습니다.

• 확인된 사실:The Register와 The Hacker News에 따르면, Wardle는 Meta에 사전 통지 없이 공개했고 Meta는 9월 22일 핫픽스를 배포했다고 밝혔다.

• 확인되지 않음: 핫픽스가 무엇을 변경했는지, 해당 기본 설정이 현재 빌드에도 여전히 존재하는지, 그리고 ClickFix 경로가 이를 견뎌내는지 여부. 검토된 보도 내용에는 이 수정 사항을 설명하는 권고문, 변경 로그 또는 CVE 항목이 나타나지 않는다.

• 확인되지 않은 사항: 실제 공격에서 누구든 표적이 되었는지, 그리고 이 결함이 macOS 앱 외의 다른 플랫폼에서 도달 가능했는지 여부. 기록에 나오는 모든 시연은 Wardle 본인의 컴퓨터에서 실행되었다.

• 입증되지 않음: 독립적 재현. 두 매체 모두 이 발견을 보도했고 The Register는 Wardle을 전화로 인터뷰했지만, 제3자가 해당 리디렉션에 대한 자체 테스트를 공개한 적이 없으며, Meta는 Singleton의 분류 외에는 이 결함을 자사 표현으로 설명하지 않았다.

잠정 권고, 그리고 일반화되는 것

수정 사항이 확인되지 않은 동안, The Hacker News는 Mac 사용자를 위한 짧은 예방 조치 목록을 게시했으며, 이는 노출 범위를 정확히 보여주기 때문에 기록해 둘 가치가 있습니다. Muse를 종료하거나 제거하면 해당 경로가 완전히 닫힙니다. Muse가 보유한 앱과 권한을 검토하고 필요하지 않은 것은 모두 취소하여, 탈취된 에이전트가 상속받는 범위를 줄이십시오. Mac이 이미 침해되었을 수 있다면 Muse 계정과 그에 연결된 계정을 노출된 것으로 간주하고 해당 비밀번호를 변경하십시오. 개념 증명이 기다리는 특정 트리거인 Muse의 음성 입력을 피하십시오. 그리고 웹사이트나 메시지에서 Terminal에 붙여넣으라고 지시하는 명령을 실행하지 마십시오. ClickFix 경로가 시작되는 방식이 바로 그것입니다.

전이 가능한 발견은 "AI는 안전하지 않다"보다 작고 "앱을 패치하라"보다 날카롭다. 에이전트의 유용성과 그 영향 범위는 같은 숫자다. Muse가 파일을 읽고 메시지를 보내게 하는 권한은 공격자가 그것을 조종함으로써 물려받는 권한이며, 그것이 통과한 어떤 통제도 그 자체로 무력화되지는 않았다. macOS는 앱 경계를 지켰고, Meta의 클라우드는 분리를 유지했으며, 토큰은 키체인에서 빼내지지 않았다. 무해해야 했던 환경설정 하나가 핵심을 떠받치고 있었고, 그것은 자신이 가리키는 데이터를 보호하기 위해 구축된 모든 계층 밖에 있었다. 디자인 트레이드오프에 대한 Wardle 자신의 요약은 The Register에 전한 것으로, 패치보다 오래 살아남는 것이다. "이들은 아주 편리하고 아주 큰 힘을 준다. 하지만 유용하게 설정하면 접근 권한이 너무 많다. 기본적으로 컴퓨터에서 무엇이든 할 수 있다."