Eén ongedocumenteerde instelling volstond om Meta's Muse in een dicteerachterdeur te veranderen

Op 21 september 2026 publiceerde beveiligingsonderzoeker Patrick Wardle een proof-of-concept genaamd not-a-mused waaruit bleek dat één ongedocumenteerde voorkeursinstelling in Meta's Muse-assistent voor macOS bepaalt waar de app naartoe stuurt wat je dicteert. De sleutel is endo_voyager_dictation_endpoint, en elk proces dat onder de ingelogde gebruiker draait, kan hem herschrijven zonder beheerderswachtwoord of een macOS-prompt. Richt je hem op een adres dat de aanvaller beheert, dan gaan de audio en transcriptie van Muse daarheen in plaats van naar Meta; Wardle liet zien dat een aanvaller vervolgens het gedicteerde kan lezen, instructies kan injecteren die Muse opvolgt, en een token kan ontvreemden waarmee op het Muse-account van de gebruiker kan worden ingelogd — en zo elk apparaat kan bereiken waarop dat account is ingelogd. Meta zegt dat het de volgende dag een hotfix heeft uitgebracht. Er is geen aanval in de echte wereld gemeld. Het eigen verslag van het archief over de openbaarmaking, met de ernstclassificatie en de aangehaalde bronnen, staat in het AI-incidentenarchief naast de andere vermeldingen over agent-kwetsbaarheden in deze reeks.

Wat de instelling doet, en waarom één sleutel genoeg was

Wardle is medeoprichter van de non-profitorganisatie Objective-See, meldt The Register. Muse is Meta's persoonlijke agent, die eerder in september 2026 in de Verenigde Staten werd gelanceerd, en The Hacker News meldt dat het, zodra een gebruiker het inschakelt, kan werken met diens bestanden, e-mail, berichten, agenda, winkel- en smart-home-apps, met welke toegang de persoon er ook voor kiest. Wardles bevinding staat niet in die toegangslijst. Die zit in de onderliggende infrastructuur: de Mac-app bevat een instelling die dicteeraudio van het apparaat omleidt, en het adres waarnaar wordt omgeleid, wordt opgeslagen waar het besturingssysteem het niet beschermt tegen andere programma's die onder dezelfde gebruiker draaien.

In de eigen woorden van de repository toont het proof-of-concept aan dat "een lokale aanvaller of malware dit endpoint kan wijzigen zonder speciale rechten", waarna "gedicteerde prompts naar een door de aanvaller beheerd endpoint kunnen worden gestuurd". De repository somt op wat dat mogelijk maakt: het vastleggen van gedicteerde audio en prompts, prompt-injectie in Muse, diefstal van Muse-authenticatiemateriaal en misbruik van welke toegang de gebruiker de app ook heeft verleend. Het vat de consequentie in één regel samen: "De toegang van Muse kan mogelijk de toegang van de aanvaller worden." Het proof-of-concept implementeert wat de README ervan een subset noemt van de meer dan 50 opdrachten die Muse aanbiedt.

De opeenvolging die The Hacker News beschrijft is mechanisch. Een programma dat de aanvaller op dezelfde Mac uitvoert, herschrijft de voorkeursinstelling en wacht vervolgens. De gebruiker tikt op de microfoon en spreekt. De audio en de resulterende tekst gaan naar het programma van de aanvaller in plaats van naar Meta. Vanuit die positie demonstreerde Wardle drie dingen: lezen wat de gebruiker dicteerde, extra instructies toevoegen die Muse vertrouwt en opvolgt — het medium beschrijft het effect als prompt-injectie — en het token vastleggen waarmee wordt ingelogd op het Muse-account van de gebruiker.

Een token, en elk apparaat erachter

De token is het onderdeel dat de Mac verlaat. The Hacker News meldt dat Muse zijn authenticatietoken meestuurt met de omgeleide dictatie, zodat dezelfde listener die de transcriptie opvangt ook de inloggegevens opvangt. Daarmee kan een aanvaller, aldus Wardle, de chatgeschiedenis van het account lezen en de assistent rechtstreeks opdrachten geven — en omdat een Muse-account op meerdere apparaten kan zijn aangemeld, blijven die opdrachten niet beperkt tot de gecompromitteerde machine.

Wardle voerde dat onderdeel uit op zijn eigen hardware. Vanaf de Mac gaf hij de Muse-app op zijn iPhone de opdracht om de exacte locatie ervan te melden, een Bluetooth-scan van nabijgelegen apparaten uit te voeren en de slimmehuishoudcommando's op te sommen die de app kon versturen. The Hacker News voegt één beperking toe aan de demonstratie: in zijn tests stelde de assistent alleen berichten op in plaats van ze zelf te versturen.

Dat is het argument om de bug als meer dan een lek in de dicteerfunctie te behandelen. The Register bericht over hoe Wardle het algemene probleem formuleert — dat macOS is gebouwd om te voorkomen dat het ene programma de gegevens van het andere leest, en dat een agent met ruime toegangsrechten één enkel storingspunt wordt voor die maatregelen. "Alleen omdat er een slechte buurman komt wonen, betekent niet dat die buurman automatisch toegang heeft tot alle appartementen," zei hij tegen The Register. Een assistent die de sleutels heeft gekregen, is een ander verhaal.

Wat het niet doet

In de bronnen worden drie beperkingen genoemd die van belang zijn voor iedereen die de blootstelling beoordeelt. Ten eerste is de kwetsbaarheid op zichzelf geen manier om een Mac binnen te dringen: er is code voor nodig die al draait als de ingelogde gebruiker. Daarom noemt Wardles repository het {{1}}"een lokale aanval"{{/1}} en noemde Meta het later een lokale privilege-escalatie. Ten tweede omzeilt het de applicatie-isolatie van macOS niet — The Hacker News meldt dat het niet de grens overschrijdt die voorkomt dat de ene app de opgeslagen wachtwoorden en tokens van een andere app leest; het eigen token van Muse lift mee met de omgeleide dictatie, en de aanval werkt door Muse te laten handelen met toegang die het al heeft. Ten derde toont het niet aan dat Meta's cloudontwerp, dat het bedrijf bouwde om de agent van elke gebruiker van anderen afgeschermd te houden, was doorbroken.

Wat het wel laat zien, is waarom endpointbeveiliging het mogelijk niet opmerkt. The Hacker News meldt Wardles punt dat de commando's afkomstig zijn van Muse, een normale ondertekende applicatie, en niet van iets dat op malware lijkt; The Register noteert dezelfde zorg in zijn woorden, dat een EDR-product niet kan vaststellen of een commando van de gebruiker, de agent of een aanvaller afkomstig is.

Wardle wijst ook een oorzaak aan. The Register meldt dat Apple dicteren op het apparaat aanbiedt en dat volgens zijn beoordeling de kwetsbaarheid niet zou bestaan als Meta die API had gebruikt; hij suggereert dat Meta ervoor koos dat niet te doen omdat het de gegevens wil, en voegt toe: "Ik denk dat een deel van hun hebzucht naar gebruikersgegevens als het ware de deur opent en een groter aanvalsoppervlak creëert." Dat is zijn gevolgtrekking over Meta's motief, geen gedocumenteerd feit, en Meta heeft er niet op gereageerd in de berichtgeving die hier is bekeken.

Openbaarmaking, de hotfix en een discussie over het label

Wardle maakte het openbaar zonder Meta eerst op de hoogte te stellen. The Hacker News meldt dat hij voor volledige openbaarmaking koos zodat gebruikers het risico zouden begrijpen en omdat het vaak de snelste weg naar een oplossing is. The Register, dat hem interviewde, zegt dat Meta niet onmiddellijk reageerde op het verzoek om commentaar.

De reactie kwam de volgende dag en ging vergezeld van een typering. In een socialmediapost op 22 september zei David Singleton van Meta Superintelligence Labs dat de Muse-app was herzien: "Dit was een lokale privilege-escalatieaanval, geen remote exploit. Om er schade mee toe te brengen is dus kwaadaardige code nodig die al onder het gebruikersaccount van de gebruiker op diens machine draait, en het praktische risico voor gebruikers van de Muse Mac-app was daarom vrij laag." In het bericht stond verder: "Desondanks hebben we een hotfix voor de app uitgebracht om het probleem op te lossen."

Op één specifiek punt zijn de twee partijen het oneens, en het meningsverschil betreft classificatie, niet het mechanisme. De verklaring van Singleton berust op de vereiste dat er bestaande lokale code is. Wardle vertelde The Hacker News dat een aanvaller op afstand daar alsnog via een ClickFix-truc kan komen — het patroon waarbij een gebruiker ertoe wordt gebracht één commando in Terminal te plakken, zonder iets te downloaden of te installeren — wat de lokale uitvoering zou opleveren die het exploit nodig heeft. Geen enkele voor dit artikel geraadpleegde bron meldt dat iemand dit daadwerkelijk heeft gedaan, en de ClickFix-route is een aangetoonde mogelijkheid, geen waargenomen campagne.

Wat de hotfix verandert, is niet openbaar. The Hacker News meldde dat het niet kon bevestigen wat de wijziging doet en dat Meta geen beveiligingsadvies had gepubliceerd; in de administratie van het archief staat eveneens dat er geen advies is uitgegeven. Een Muse-gebruiker heeft dus Meta's woord dat het probleem is verholpen, en geen enkel document dat beschrijft hoe.

Wat is vastgesteld, en wat niet

Het archief beoordeelt dit record met vertrouwensniveau A — goed gedocumenteerd, met primaire bronnen die overeenstemmen — en markeert het niet als betwist. Die beoordeling is geen bewering dat er schade is opgetreden: het record markeert werkelijke schade als onwaar, en niets in de beoordeelde berichtgeving beschrijft een aangevallen gebruiker, een gestolen account of een verloren bestand. Het bewijs bestaat uit een proof-of-concept van een onderzoeker, zijn eigen demonstraties en een verklaring van een leverancier.

• Vastgesteld: de Muse macOS-app had een niet-gedocumenteerde voorkeur met de naam endo_voyager_dictation_endpoint die bepaalde waar dicteertekst naartoe werd gestuurd, en een proces dat als de aangemelde gebruiker draaide, kon het zonder verhoogde rechten herschrijven, volgens Wardles repository en beide media.

• Vastgesteld: het omleiden van dat endpoint stuurde dictatie-audio en transcript naar een door de aanvaller beheerd adres, en de authenticatietoken van Muse reisde mee, volgens The Hacker News.

• Vastgesteld:een op die manier verkregen token zou Muse kunnen aansturen op andere apparaten die op hetzelfde account zijn aangemeld; Wardle demonstreerde locatierapportage, een bluetoothscan en een lijst met smart-homecommando's op zijn eigen iPhone, volgens The Hacker News.

• Vastgesteld: de aanval vereiste code-uitvoering als de gebruiker, doorbrak de applicatie-isolatie van macOS niet en doorbrak de cloudscheiding van Meta niet, volgens The Hacker News en de repository van Wardle.

• Vastgesteld:Wardle onthulde dit zonder Meta vooraf te informeren, en Meta zei op 22 september dat het een hotfix had uitgebracht, volgens The Register en The Hacker News.

• Niet vastgesteld: wat de hotfix heeft gewijzigd, of de voorkeursinstelling nog aanwezig is in huidige builds, en of het ClickFix-pad daardoor blijft werken. In de beoordeelde berichtgeving is geen advisory, changelog of CVE-vermelding te vinden die de fix beschrijft.

• Niet vastgesteld: of iemand in het wild is gericht aangevallen, en of het lek bereikbaar was op een ander platform dan de macOS-app. Elke demonstratie in het dossier vond plaats op Wardles eigen machines.

• Niet vastgesteld: onafhankelijke reproductie. Beide media meldden de bevinding, en The Register interviewde Wardle telefonisch, maar geen enkele derde partij heeft een eigen test van de redirect gepubliceerd, en Meta heeft de fout niet in eigen woorden beschreven buiten Singletons classificatie.

Het tussentijdse advies, en wat zich laat generaliseren

Terwijl de fix nog niet bevestigd was, publiceerde The Hacker News een korte lijst met voorzorgsmaatregelen voor Mac-gebruikers, en het is de moeite waard die vast te leggen, omdat ze de blootstelling nauwkeurig in kaart brengt. Sluit Muse af of verwijder het, waardoor het pad volledig wordt afgesloten. Controleer de apps en machtigingen die Muse heeft en trek alles in wat het niet nodig heeft, zodat een gekaapte agent minder erft. Beschouw het Muse-account en de daaraan gekoppelde accounts als blootgesteld als de Mac mogelijk al gecompromitteerd is, en wijzig die wachtwoorden. Vermijd de spraakinvoer van Muse, die de specifieke trigger is waar het proof-of-concept op wacht. En voer geen opdrachten uit die een website of een bericht je zegt in Terminal te plakken; zo begint het ClickFix-pad.

De overdraagbare bevinding is kleiner dan "AI is onveilig" en scherper dan "patch je apps." Het nut van een agent en zijn impactradius zijn hetzelfde getal: de rechten waarmee Muse bestanden kan lezen en berichten kan versturen, zijn de rechten die een aanvaller erft door hem aan te sturen, en geen enkele controle die hij doorstond, werd zelf omzeild. macOS hield zijn app-grens overeind, Meta's cloud hield zijn scheiding in stand, en het token werd niet uit een keychain gehaald. Een voorkeur die inert had moeten zijn, was dragend, en die zat buiten elke laag die was gebouwd om de gegevens te beschermen waarnaar ze verwees. Wardles eigen samenvatting van de ontwerpafweging, gegeven aan The Register, is degene die de patch overleeft: "Ze zijn ontzettend handig en geven je ontzettend veel macht. Maar ze hebben zo veel toegang als je ze nuttig instelt. Ze kunnen in feite alles op je computer doen."