Uma configuração não documentada foi suficiente para transformar o Muse da Meta em uma backdoor de ditado

Em 21 de setembro de 2026, o pesquisador de segurança Patrick Wardle publicou uma prova de conceito chamada not-a-mused mostrando que uma preferência não documentada dentro do assistente Muse da Meta para macOS decide para onde o aplicativo envia o que você dita. A chave é endo_voyager_dictation_endpoint, e qualquer processo em execução como o usuário conectado pode reescrevê-la sem senha de administrador ou aviso do macOS. Aponte-a para um endereço controlado pelo atacante e o áudio e a transcrição do Muse vão para lá em vez de para a Meta; Wardle mostrou que um atacante pode então ler o ditado, injetar instruções que o Muse obedece e extrair um token que conecta o usuário à conta Muse — alcançando todos os dispositivos em que essa conta está conectada. A Meta diz que enviou um hotfix no dia seguinte. Nenhum ataque do mundo real foi relatado. O registro do próprio arquivo sobre a divulgação, com sua classificação de gravidade e fontes citadas, está em o arquivo de incidentes de IA junto com as outras entradas de vulnerabilidade de agentes desta série.

O que a configuração faz e por que uma chave foi suficiente

Wardle é cofundador da organização sem fins lucrativos Objective-See, informa o The Register. Muse é o agente pessoal da Meta, lançado nos Estados Unidos no início de setembro de 2026, e o The Hacker News relata que, assim que um usuário o ativa, ele pode atuar em seus arquivos, e-mail, mensagens, calendário, aplicativos de compras e de casa inteligente, usando qualquer acesso que a pessoa escolher conceder. A descoberta de Wardle não está nessa lista de acessos. Está na infraestrutura por baixo dela: o aplicativo para Mac inclui uma configuração que encaminha o áudio de ditado para fora do dispositivo, e o endereço para o qual ele encaminha fica armazenado onde o sistema operacional não o protege de outros programas executados pelo mesmo usuário.

Nas palavras do próprio repositório, a prova de conceito demonstra que "um atacante local ou malware pode modificar este endpoint sem privilégios especiais", após o que "prompts ditados podem ser enviados para um endpoint controlado pelo atacante". O repositório lista o que isso potencialmente permite: captura de áudio e prompts ditados, injeção de prompt no Muse, roubo de material de autenticação do Muse e abuso de qualquer acesso que o usuário tenha concedido ao aplicativo. Ele resume a consequência em uma linha: "O acesso do Muse pode potencialmente se tornar o acesso do atacante". A prova de conceito implementa o que seu README chama de um subconjunto dos mais de 50 comandos que o Muse expõe.

A sequência descrita pelo The Hacker News é mecânica. Um programa executado pelo atacante no mesmo Mac reescreve a preferência e então aguarda. O usuário toca no microfone e fala. O áudio e o texto resultante vão para o programa do atacante, e não para a Meta. A partir dessa posição, Wardle demonstrou três coisas: ler o que o usuário ditou, adicionar instruções extras que o Muse confia e executa — o veículo descreve o efeito como injeção de prompt — e capturar o token que autentica a conta Muse do usuário.

Um token, e todos os dispositivos por trás dele

O token é a parte que sai do Mac. O The Hacker News relata que o Muse envia seu token de autenticação junto com o ditado redirecionado, então o mesmo listener que captura a transcrição também captura a credencial. Com ele, Wardle diz, um atacante pode ler o histórico de conversas da conta e dar ordens diretamente ao assistente — e, como uma conta do Muse pode estar conectada em vários dispositivos, essas ordens não ficam restritas à máquina comprometida.

Wardle executou essa parte em seu próprio hardware. Do Mac, ele instruiu o aplicativo Muse em seu iPhone a relatar sua localização exata, executar uma varredura Bluetooth dos dispositivos próximos e listar os comandos de casa inteligente que poderia enviar. O Hacker News acrescenta uma limitação à demonstração: em seus testes, o assistente apenas redigia mensagens em vez de enviá-las por conta própria.

Esse é o argumento para tratar o bug como mais do que um vazamento de ditado. O The Register relata a formulação de Wardle do problema geral — que o macOS foi criado para impedir que um programa leia os dados de outro, e que um agente ao qual foi concedido acesso amplo se torna um ponto único de falha para esses controles. "Só porque um vizinho ruim se muda para o prédio não significa que esse vizinho automaticamente tenha acesso a todos os apartamentos", ele disse ao The Register. Um assistente que recebeu as chaves é uma proposta diferente.

O que ele não faz

Três limites são declarados nas fontes e são importantes para qualquer pessoa que avalie a exposição. Primeiro, a falha não é uma forma de entrar em um Mac por si só: ela precisa de código já em execução como o usuário conectado, e é por isso que o repositório de Wardle a rotula como "um ataque local" e a Meta mais tarde a chamou de escalonamento local de privilégios. Segundo, ela não contorna o isolamento de aplicativos do macOS — o The Hacker News relata que ela não cruza o limite que impede um aplicativo de ler as senhas e os tokens salvos de outro aplicativo; o próprio token do Muse vai junto com o ditado redirecionado, e o ataque funciona fazendo o Muse agir com o acesso que ele já possui. Terceiro, ela não mostra que o design de nuvem da Meta, que a empresa criou para manter o agente de cada usuário isolado dos demais, foi comprometido.

O que isso mostra é por que a segurança de endpoint pode não perceber. The Hacker News relata o argumento de Wardle de que os comandos chegam do Muse, um aplicativo assinado comum, e não de algo que pareça malware; The Register registra a mesma preocupação nas palavras dele, de que um produto EDR não consegue distinguir se um comando veio do usuário, do agente ou de um atacante.

Wardle também atribui uma causa. O The Register relata que a Apple oferece ditado no dispositivo e que, na avaliação dele, a vulnerabilidade não existiria se a Meta tivesse usado essa API; ele sugere que a Meta optou por não fazer isso porque quer os dados, e acrescenta: "Acho que um pouco da ganância deles por dados de usuário meio que abre a porta, cria uma superfície de ataque maior." Essa é uma inferência dele sobre o motivo da Meta, não um fato documentado, e a Meta não respondeu a isso na cobertura analisada aqui.

Divulgação, o hotfix e uma discussão sobre o rótulo

Wardle tornou público sem avisar a Meta primeiro. O Hacker News relata que ele optou pela divulgação total para que os usuários entendessem o risco e porque muitas vezes é o caminho mais rápido para uma correção. O The Register, que o entrevistou, diz que a Meta não respondeu imediatamente ao seu pedido de comentário.

A resposta veio no dia seguinte, e veio acompanhada de uma caracterização. Em uma publicação nas redes sociais em 22 de setembro, David Singleton, do Meta Superintelligence Labs, disse que o aplicativo Muse havia sido revisado: “Este foi um ataque de escalonamento de privilégios local, não um exploit remoto. Portanto, usá-lo para causar danos exige código malicioso já em execução na máquina do usuário sob sua conta de usuário, e o risco prático para os usuários do aplicativo Muse para Mac era, portanto, bastante baixo.” A publicação acrescentou: “Ainda assim, emitimos um hotfix para o aplicativo para resolver o problema.”

Num ponto específico, os dois lados discordam, e a discordância é sobre classificação, não sobre mecanismo. A afirmação de Singleton baseia-se na exigência de código local existente. Wardle disse ao The Hacker News que um atacante remoto ainda poderia chegar lá por meio de um truque ClickFix — o padrão que convence um usuário a colar um único comando no Terminal, sem nada para baixar ou instalar — o que forneceria a execução local de que o exploit precisa. Nenhuma fonte consultada para este artigo relata que alguém realmente tenha feito isso, e a rota ClickFix é uma possibilidade demonstrada, e não uma campanha observada.

O que o hotfix altera não é público. O The Hacker News relatou que não conseguiu confirmar o que a alteração faz e que a Meta não havia publicado um aviso de segurança; o registro do arquivo também observa que nenhum aviso foi emitido. Um usuário do Muse, portanto, tem a palavra da Meta de que o problema foi resolvido, e nenhum documento descrevendo como.

O que está estabelecido e o que não está

O arquivo classifica este registro com confiança A — bem documentado, com fontes primárias que concordam — e não o sinaliza como contestado. Essa classificação não é uma alegação de que tenha ocorrido dano: o registro marca dano real como falso, e nada na cobertura revisada descreve um usuário atacado, uma conta roubada ou um arquivo perdido. As evidências são uma prova de conceito de um pesquisador, suas próprias demonstrações e uma declaração de um fornecedor.

• Estabelecido: o app Muse para macOS tinha uma preferência não documentada chamada endo_voyager_dictation_endpoint que controlava para onde o ditado era enviado, e um processo em execução como o usuário conectado podia reescrevê-la sem direitos elevados, de acordo com o repositório de Wardle e ambos os veículos.

• Estabelecido:o redirecionamento desse endpoint enviava áudio e transcrição de ditado para um endereço controlado pelo atacante, e o token de autenticação do Muse viajava junto, segundo o The Hacker News.

• Estabelecido: um token obtido dessa forma poderia controlar o Muse em outros dispositivos conectados à mesma conta; Wardle demonstrou relatório de localização, uma varredura Bluetooth e uma lista de comandos de casa inteligente em seu próprio iPhone, segundo o The Hacker News.

• Estabelecido: o ataque exigia execução de código como o usuário, não contornava o isolamento de aplicativos do macOS e não violava a separação de nuvem da Meta, segundo o The Hacker News e o repositório de Wardle.

• Estabelecido:Wardle divulgou a informação sem notificar previamente a Meta, e a Meta afirmou em 22 de setembro que havia lançado um hotfix, segundo o The Register e o The Hacker News.

• Não estabelecido: o que o hotfix alterou, se a preferência ainda existe nas builds atuais e se o caminho do ClickFix sobrevive a ele. Nenhum aviso, changelog ou entrada de CVE descrevendo a correção aparece na cobertura revisada.

• Não estabelecido: se alguém foi alvo em ambiente real e se a falha era acessível em qualquer plataforma além do app para macOS. Todas as demonstrações no registro foram executadas nas próprias máquinas de Wardle.

• Não estabelecido: reprodução independente. Ambos os veículos noticiaram a descoberta, e o The Register entrevistou Wardle por telefone, mas nenhum terceiro publicou seu próprio teste do redirecionamento, e a Meta não descreveu a falha com suas próprias palavras além da classificação de Singleton.

O parecer provisório, e o que se generaliza

Embora a correção não estivesse confirmada, o The Hacker News publicou uma pequena lista de precauções para usuários de Mac, e vale a pena registrá-la porque ela mapeia a exposição com precisão. Encerre ou remova o Muse, o que fecha o caminho por completo. Revise os aplicativos e permissões que o Muse possui e revogue tudo o que ele não precisa, para que um agente sequestrado herde menos. Trate a conta do Muse e as contas conectadas a ela como expostas se o Mac já puder estar comprometido, e altere essas senhas. Evite a entrada de voz do Muse, que é o gatilho específico que a prova de conceito aguarda. E não execute comandos que um site ou uma mensagem mande você colar no Terminal, que é como o caminho do ClickFix começa.

A descoberta transferível é menor que "a IA é insegura" e mais incisiva que "atualize seus aplicativos". A utilidade de um agente e seu raio de impacto são o mesmo número: as permissões que permitem ao Muse ler arquivos e enviar mensagens são as permissões que um atacante herda ao manipulá-lo, e nenhum controle que ele passou foi, ele próprio, derrotado. O macOS manteve sua fronteira de aplicativos, a nuvem da Meta manteve sua separação, e o token não foi extraído de um keychain. Uma preferência que deveria ser inerte era estrutural, e ficava fora de todas as camadas criadas para proteger os dados que ela apontava. O próprio resumo de Wardle sobre o trade-off de design, dado ao The Register, é o que sobrevive ao patch: "Eles são super convenientes e super empoderadores. Mas têm tanto acesso se você os configurar para serem úteis. Eles basicamente podem fazer qualquer coisa no seu computador."