Одной недокументированной настройки хватило, чтобы превратить Muse от Meta в бэкдор для диктовки

21 сентября 2026 года исследователь безопасности Патрик Уордл опубликовал proof-of-concept под названием not-a-mused, показывающий, что одна недокументированная настройка в помощнике Muse для macOS от Meta определяет, куда приложение отправляет то, что вы диктуете. Ключ — endo_voyager_dictation_endpoint, и любой процесс, работающий от имени вошедшего в систему пользователя, может переписать его без пароля администратора или запроса macOS. Направьте его на адрес, контролируемый злоумышленником, и аудио и транскрипт Muse отправятся туда вместо Meta; Уордл показал, что затем злоумышленник может прочитать диктовку, внедрить инструкции, которым Muse подчиняется, и похитить токен, который выполняет вход в учетную запись Muse пользователя, — получив доступ ко всем устройствам, где эта учетная запись авторизована. Meta заявляет, что выпустила хотфикс на следующий день. О реальных атаках не сообщалось. Собственная запись архива об этом раскрытии, с оценкой серьезности и указанными источниками, находится в архиве инцидентов ИИ вместе с другими записями об уязвимостях агентов в этой серии.

Что делает эта настройка и почему одного ключа было достаточно

Уордл — соучредитель некоммерческой организации Objective-See, сообщает The Register. Muse — это персональный агент Meta, запущенный в США в начале сентября 2026 года, и, как сообщает The Hacker News, после того как пользователь его включает, он может работать с его файлами, электронной почтой, сообщениями, календарём, покупками и приложениями умного дома, используя тот доступ, который человек решит ему предоставить. Находка Уордла не входит в этот список доступов. Она кроется в «сантехнике» под ним: приложение для Mac поставляется с настройкой, которая направляет аудио диктовки за пределы устройства, а адрес, на который оно направляется, хранится там, где операционная система не защищает его от других программ, запущенных от имени того же пользователя.

В формулировке самого репозитория proof-of-concept демонстрирует, что «локальный атакующий или вредоносное ПО может изменить эту конечную точку без особых привилегий», после чего «продиктованные промпты могут быть отправлены на контролируемую атакующим конечную точку». Репозиторий перечисляет, что это потенциально позволяет: перехват продиктованного аудио и промптов, инъекцию промптов в Muse, кражу аутентификационных материалов Muse и злоупотребление любым доступом, который пользователь предоставил приложению. Он суммирует последствие одной фразой: «Доступ Muse потенциально может стать доступом атакующего». Proof-of-concept реализует то, что в его README называется подмножеством более чем 50 команд, которые предоставляет Muse.

Последовательность, которую описывает The Hacker News, механическая. Программа, которую злоумышленник запускает на том же Mac, перезаписывает настройку, а затем ждёт. Пользователь нажимает на микрофон и говорит. Аудио и полученный текст попадают в программу злоумышленника, а не в Meta. Находясь в этой позиции, Уордл продемонстрировал три вещи: чтение того, что пользователь продиктовал, добавление дополнительных инструкций, которым Muse доверяет и которые выполняет, — издание описывает этот эффект как prompt injection — и перехват токена, который используется для входа в аккаунт пользователя в Muse.

Токен и каждое устройство за ним

{{1}}Токен{{/1}} — это та часть, которая покидает Mac. {{2}}The Hacker News{{/2}} сообщает, что Muse отправляет свой токен аутентификации вместе с перенаправленной диктовкой, поэтому тот же слушатель, который перехватывает транскрипт, перехватывает и учётные данные. По словам Уордла, с его помощью злоумышленник может читать историю чата аккаунта и напрямую отдавать ассистенту команды — а поскольку в аккаунт Muse можно войти на нескольких устройствах, эти команды не ограничиваются скомпрометированной машиной.

Уордл выполнил эту часть на собственном оборудовании. С Mac он дал команду приложению Muse на своём iPhone сообщить его точное местоположение, выполнить сканирование Bluetooth для поиска ближайших устройств и перечислить команды умного дома, которые оно могло отправлять. The Hacker News добавляет к демонстрации одну оговорку: в его тестах ассистент только составлял черновики сообщений, а не отправлял их самостоятельно.

Вот аргумент в пользу того, чтобы относиться к этому багу не просто как к утечке диктовки. The Register передаёт формулировку Уордла общей проблемы — что macOS была создана, чтобы не давать одной программе читать данные другой, и что агент, получивший широкий доступ, становится единой точкой отказа для этих механизмов контроля. «То, что въехал плохой сосед, вовсе не означает, что у этого соседа автоматически есть доступ ко всем квартирам», — сказал он The Register. Ассистент, которому дали ключи, — это другое дело.

Что это не делает

В источниках указаны три ограничения, важные для любого, кто оценивает степень подверженности. Во-первых, эта уязвимость сама по себе не является способом проникнуть в Mac: для неё нужен код, уже выполняющийся от имени вошедшего в систему пользователя, поэтому репозиторий Wardle называет её «локальной атакой», а Meta позже назвала её локальным повышением привилегий. Во-вторых, она не обходит изоляцию приложений macOS — The Hacker News сообщает, что она не преодолевает границу, которая не даёт одному приложению читать сохранённые пароли и токены другого приложения; собственный токен Muse передаётся вместе с перенаправлённой диктовкой, а атака работает за счёт того, что Muse заставляют действовать с доступом, который у него уже есть. В-третьих, она не доказывает, что облачная архитектура Meta, которую компания построила, чтобы агент каждого пользователя был изолирован от других, была нарушена.

Что оно действительно показывает, так это почему средства защиты конечных точек могут этого не заметить. The Hacker News передаёт мысль Уордла о том, что команды поступают от Muse — обычного подписанного приложения, а не от чего-то похожего на вредоносное ПО; The Register фиксирует ту же обеспокоенность его словами: продукт EDR не может определить, исходит ли команда от пользователя, агента или злоумышленника.

Уордл также называет причину. The Register сообщает, что Apple предоставляет функцию диктовки на устройстве, и что, по его оценке, уязвимость не существовала бы, если бы Meta использовала этот API; он предполагает, что Meta решила этого не делать, потому что хочет получать данные, и добавляет: «Я думаю, их жадность до пользовательских данных своего рода открывает дверь, увеличивает поверхность атаки». Это его вывод о мотивах Meta, а не задокументированный факт, и Meta не отреагировала на это в рассмотренных здесь публикациях.

Раскрытие, хотфикс и спор о метке

Уордл предал информацию огласке, не уведомив предварительно Meta. The Hacker News сообщает, что он выбрал полное раскрытие, чтобы пользователи понимали риск, а также потому, что это часто самый быстрый путь к исправлению. The Register, взявший у него интервью, сообщает, что Meta не сразу ответила на его запрос о комментарии.

Ответ пришел на следующий день, и к нему прилагалась характеристика. В публикации в социальной сети от 22 сентября Дэвид Синглтон из Meta Superintelligence Labs заявил, что приложение Muse было обновлено: «Это была атака с локальным повышением привилегий, а не удаленная эксплуатация уязвимости. Поэтому использование ее для нанесения вреда требует наличия вредоносного кода, уже работающего на машине пользователя под его учетной записью, и практический риск для пользователей приложения Muse для Mac был поэтому довольно низким». В публикации добавлялось: «Тем не менее мы выпустили горячее исправление для приложения, чтобы устранить проблему».

В одном узком моменте две стороны расходятся, и это расхождение касается классификации, а не механизма. Утверждение Синглтона опирается на требование наличия существующего локального кода. Уордл сказал The Hacker News, что удалённый злоумышленник всё ещё мог бы добиться этого через трюк ClickFix — схему, которая уговаривает пользователя вставить одну команду в Terminal, без необходимости что-либо скачивать или устанавливать, — что обеспечило бы локальное выполнение, необходимое для эксплойта. Ни один из источников, изученных для этой статьи, не сообщает, что кто-либо действительно это сделал, а маршрут ClickFix — это продемонстрированная возможность, а не наблюдаемая кампания.

Что именно меняет хотфикс, публично не раскрывается. The Hacker News сообщил, что не смог подтвердить, что именно делает это изменение, и что Meta не опубликовала уведомление по безопасности; запись в архиве также отмечает, что никаких уведомлений не выпускалось. Таким образом, у пользователя Muse есть лишь заверение Meta о том, что проблема устранена, и нет документа, описывающего, как именно.

Что установлено, а что — нет

Архив оценивает эту запись как имеющую степень достоверности A — она хорошо документирована, а первичные источники согласуются между собой — и не помечает её как спорную. Такая оценка не является утверждением, что вред был причинён: в записи реальный вред отмечен как ложный, и ничто в рассмотренных материалах не описывает атакованного пользователя, украденную учётную запись или утраченный файл. Доказательствами являются прототип исследователя, его собственные демонстрации и заявление производителя.

• Установлено: приложение Muse для macOS содержало недокументированную настройку с именем endo_voyager_dictation_endpoint, которая определяла, куда направляется диктовка, и процесс, запущенный от имени вошедшего в систему пользователя, мог перезаписать её без повышенных прав — согласно репозиторию Уордла и обоим изданиям.

• Установлено: перенаправление этой конечной точки приводило к отправке аудиозаписи диктовки и транскрипта на контролируемый злоумышленником адрес, и вместе с ними передавался токен аутентификации Muse, согласно The Hacker News.

• Установлено: полученный таким образом токен мог управлять Muse на других устройствах, в которые выполнен вход в ту же учетную запись; Уордл продемонстрировал передачу данных о местоположении, сканирование Bluetooth и список команд умного дома на своем собственном iPhone, по данным The Hacker News.

• Установлено: согласно The Hacker News и репозиторию Wardle, атака требовала выполнения кода от имени пользователя, не преодолевала изоляцию приложений macOS и не нарушала облачную изоляцию Meta.

• Установлено: Уордл раскрыл информацию, не уведомив Meta заранее, а Meta 22 сентября заявила, что выпустила экстренное исправление, по данным The Register и The Hacker News.

• Не установлено: что изменил хотфикс, сохраняется ли эта настройка в текущих сборках и переживает ли путь ClickFix это исправление. Ни одного бюллетеня безопасности, записи в журнале изменений или CVE, описывающих исправление, в рассмотренных материалах не встречается.

• Не установлено:подвергался ли кто-либо целевой атаке в реальных условиях и была ли уязвимость достижима на какой-либо платформе, кроме приложения для macOS. Все демонстрации, зафиксированные в материалах, выполнялись на собственных машинах Уордла.

• Не установлено: независимое воспроизведение. Оба издания сообщили о находке, и The Register взял у Уордла интервью по телефону, но ни одна третья сторона не опубликовала собственного теста перенаправления, а Meta не описала уязвимость своими словами помимо классификации Синглтона.

Предварительная рекомендация и то, что поддаётся обобщению

Пока исправление не было подтверждено, The Hacker News опубликовал краткий список мер предосторожности для пользователей Mac, и его стоит зафиксировать, поскольку он точно очерчивает зону риска. Завершите работу Muse или удалите его — это полностью перекрывает путь. Проверьте, к каким приложениям и разрешениям у Muse есть доступ, и отзовите всё, что ему не нужно, чтобы захваченный агент унаследовал меньше. Считайте аккаунт Muse и связанные с ним аккаунты подверженными риску, если Mac, возможно, уже скомпрометирован, и смените эти пароли. Избегайте голосового ввода Muse — это конкретный триггер, которого ждёт proof-of-concept. И не выполняйте команды, которые сайт или сообщение велит вам вставить в Terminal, — именно так начинается путь ClickFix.

Переносимый вывод более узок, чем «ИИ небезопасен», и точнее, чем «патчите свои приложения». Полезность агента и его радиус поражения — это одно и то же число: разрешения, которые позволяют Muse читать файлы и отправлять сообщения, — это те же разрешения, которые злоумышленник наследует, управляя агентом, и ни одна из проверок, которые агент прошёл, не была обойдена. macOS сохранила границу приложений, облако Meta сохранило изоляцию, а токен не был украден из связки ключей. Настройка, которая должна была быть безвредной, оказалась несущей, и она находилась вне всех слоёв, построенных для защиты данных, на которые указывала. Собственное описание компромисса в дизайне, данное Уордлом The Register, — это то, что переживёт патч: «Они суперудобны и дают супервозможности. Но у них столько доступа, если настроить их так, чтобы они были полезны. По сути, они могут делать на вашем компьютере всё что угодно».