En enda odokumenterad inställning räckte för att förvandla Metas Muse till en dikteringsbakdörr

Den 21 september 2026 publicerade säkerhetsforskaren Patrick Wardle ett proof-of-concept kallat not-a-mused som visade att en odokumenterad inställning i Metas Muse-assistent för macOS avgör vart appen skickar det du dikterar. Nyckeln är endo_voyager_dictation_endpoint, och varje process som körs som den inloggade användaren kan skriva om den utan administratörslösenord eller någon macOS-prompt. Pekar man den mot en adress som angriparen kontrollerar hamnar Muses ljud och transkription där i stället för hos Meta; Wardle visade att en angripare sedan kan läsa dikteringen, injicera instruktioner som Muse följer och komma åt en token som loggar in på användarens Muse-konto — och nå alla enheter där det kontot är inloggat. Meta säger att de skickade ut en hotfix dagen därpå. Ingen attack i verkligheten har rapporterats. Arkivets egen post om avslöjandet, med allvarlighetsgradering och citerade källor, finns i AI-incidentarkivet tillsammans med de andra posterna om agent-sårbarheter i den här serien.

Vad inställningen gör, och varför en enda nyckel räckte

Wardle är medgrundare till den ideella organisationen Objective-See, rapporterar The Register. Muse är Metas personliga agent, som lanserades i USA tidigare i september 2026, och The Hacker News rapporterar att när en användare har aktiverat den kan den arbeta med användarens filer, e-post, meddelanden, kalender, shoppingappar och appar för smarta hem, med vilken åtkomst personen än väljer att ge den. Wardles upptäckt finns inte i den åtkomstlistan. Den finns i infrastrukturen under den: Mac-appen levereras med en inställning som skickar dikteringsljud utanför enheten, och adressen som den skickar till lagras där operativsystemet inte skyddar den från andra program som körs som samma användare.

Repositoryt beskriver det själv som att proof-of-conceptet visar att "en lokal angripare eller skadlig programvara kan ändra denna slutpunkt utan särskilda privilegier", varefter "dikterade promptar kan skickas till en angriparkontrollerad slutpunkt". Repositoryt listar vad det potentiellt möjliggör: inspelning av dikterat ljud och promptar, promptinjektion i Muse, stöld av Muses autentiseringsmaterial och missbruk av vilken åtkomst användaren än har gett appen. Det sammanfattar konsekvensen i en rad: "Muses åtkomst kan potentiellt bli angriparens åtkomst." Proof-of-conceptet implementerar det som dess README kallar en delmängd av de över 50 kommandon som Muse exponerar.

Sekvensen som The Hacker News beskriver är mekanisk. Ett program som angriparen kör på samma Mac skriver om inställningen och väntar sedan. Användaren trycker på mikrofonen och talar. Ljudet och den resulterande texten går till angriparens program i stället för till Meta. Utifrån den positionen visade Wardle tre saker: att läsa vad användaren dikterade, att lägga till extra instruktioner som Muse litar på och agerar på – mediet beskriver effekten som prompt injection – och att fånga token som loggar in på användarens Muse-konto.

En token, och varje enhet bakom den

Token är den del som lämnar Macen. The Hacker News rapporterar att Muse skickar sin autentiseringstoken tillsammans med den omdirigerade dikteringen, så samma lyssnare som fångar upp transkriptionen fångar även inloggningsuppgiften. Med den kan en angripare, enligt Wardle, läsa kontots chatthistorik och ge assistenten order direkt – och eftersom ett Muse-konto kan vara inloggat på flera enheter är dessa order inte begränsade till den komprometterade maskinen.

Wardle körde den delen på sin egen hårdvara. Från Macen styrde han Muse-appen på sin iPhone att rapportera sin exakta position, köra en Bluetooth-skanning av närliggande enheter och lista de smarta hem-kommandon som den kunde skicka. The Hacker News lägger till en begränsning till demonstrationen: i hans tester skapade assistenten bara utkast till meddelanden i stället för att skicka dem själv.

Det är argumentet för att behandla buggen som mer än en dikteringsläcka. The Register rapporterar Wardles formulering av det allmänna problemet – att macOS byggdes för att hindra ett program från att läsa ett annats data, och att en agent som har beviljats bred åtkomst blir en enda felpunkt för dessa kontroller. ”Bara för att en dålig granne flyttar in betyder det inte att den grannen automatiskt har tillgång till alla lägenheter”, sade han till The Register. En assistent som har fått nycklarna är en annan sak.

Vad den inte gör

Tre begränsningar anges i källorna och är viktiga för alla som bedömer exponering. För det första är sårbarheten inte en väg in i en Mac i sig: den kräver kod som redan körs som den inloggade användaren, vilket är anledningen till att Wardles kodförråd betecknar den som "en lokal attack" och att Meta senare kallade den en lokal privilegieeskalering. För det andra kringgår den inte applikationsisoleringen i macOS — The Hacker News rapporterar att den inte passerar gränsen som hindrar en app från att läsa en annan apps sparade lösenord och token; Muses egen token följer med den omdirigerade dikteringen, och attacken fungerar genom att få Muse att agera med åtkomst som den redan har. För det tredje visar den inte att Metas molndesign, som företaget byggde för att hålla varje användares agent avskärmad från andra, var bruten.

Det den däremot visar är varför slutpunktssäkerhet kanske inte upptäcker det. The Hacker News rapporterar Wardles poäng att kommandona kommer från Muse, en vanlig signerad applikation, snarare än från något som ser ut som skadlig programvara; The Register återger samma oro i hans ord, att en EDR-produkt inte kan avgöra om ett kommando kom från användaren, agenten eller en angripare.

Wardle anger också en orsak. The Register rapporterar att Apple tillhandahåller diktering på enheten och att sårbarheten enligt hans bedömning inte skulle finnas om Meta hade använt det API:et; han antyder att Meta valde att inte göra det eftersom företaget vill ha data, och tillägger: "Jag tror att en del av deras girighet efter användardata liksom öppnar dörren, skapar en större attackyta." Det är hans slutsats om Metas motiv, inte ett dokumenterat faktum, och Meta har inte svarat på det i den rapportering som granskats här.

Avslöjande, hotfixen och ett gräl om etiketten

Wardle offentliggjorde det utan att först berätta för Meta. The Hacker News rapporterar att han valde fullständigt offentliggörande så att användare skulle förstå risken, och eftersom det ofta är den snabbaste vägen till en åtgärd. The Register, som intervjuade honom, säger att Meta inte omedelbart svarade på dess förfrågan om kommentar.

Svaret kom dagen därpå, och det åtföljdes av en karakterisering. I ett inlägg i sociala medier den 22 september sade David Singleton från Meta Superintelligence Labs att Muse-appen hade reviderats: "Detta var en lokal attack för privilegieeskalering, inte en fjärrexploit. Att använda den för att göra skada kräver därför skadlig kod som redan körs på användarens maskin under användarens konto, och den praktiska risken för användare av Muse Mac-appen var därför ganska låg." Inlägget tillade: "Icke desto mindre har vi utfärdat en hotfix till appen för att åtgärda problemet."

På en snäv punkt är de två sidorna oense, och oenigheten gäller klassificering snarare än mekanism. Singletons uttalande vilar på kravet på befintlig lokal kod. Wardle sade till The Hacker News att en fjärrangripare fortfarande skulle kunna nå dit via ett ClickFix-trick – mönstret som övertalar en användare att klistra in ett enda kommando i Terminal, utan något att ladda ner eller installera – vilket skulle tillhandahålla den lokala exekvering som exploiten behöver. Ingen källa som granskats för den här artikeln rapporterar att någon faktiskt har gjort det, och ClickFix-vägen är en demonstrerad möjlighet snarare än en observerad kampanj.

Vad hotfixen ändrar är inte offentligt. The Hacker News rapporterade att man inte kunde bekräfta vad ändringen gör och att Meta inte hade publicerat någon säkerhetsbulletin; arkivets register noterar på samma sätt att ingen bulletin har utfärdats. En Muse-användare har därför Metas ord på att problemet är åtgärdat, och inget dokument som beskriver hur.

Vad som är fastställt, och vad som inte är det

Arkivet betygsätter denna post med tillförlitlighet A — väl dokumenterad, med primärkällor som stämmer överens — och flaggar den inte som omtvistad. Den betygsättningen är inte ett påstående att skada har inträffat: posten markerar verklig skada som falskt, och inget i det granskade materialet beskriver en attackerad användare, ett stulet konto eller en förlorad fil. Bevisningen är en forskares proof-of-concept, hans egna demonstrationer och ett uttalande från leverantören.

• Fastställt: Muse macOS-appen hade en odokumenterad inställning med namnet endo_voyager_dictation_endpoint som styrde vart dikteringen skickades, och en process som kördes som den inloggade användaren kunde skriva om den utan förhöjda behörigheter, enligt Wardles repo och båda nyhetskanalerna.

• Fastställt: omdirigering av den slutpunkten skickade dikteringsljud och transkript till en angriparkontrollerad adress, och Muses autentiseringstoken följde med, enligt The Hacker News.

• Konstaterat: en token som erhållits på det sättet skulle kunna styra Muse på andra enheter som är inloggade på samma konto; Wardle demonstrerade platsrapportering, en Bluetooth-skanning och en lista med smarthemkommandon på sin egen iPhone, enligt The Hacker News.

• Fastställt: attacken krävde kodkörning med användarens behörigheter, kringgick inte macOS applikationsisolering och bröt inte igenom Metas molnseparation, enligt The Hacker News och Wardles repository.

• Fastställt:Wardle avslöjade utan att först underrätta Meta, och Meta uppgav den 22 september att man hade utfärdat en hotfix, enligt The Register och The Hacker News.

• Ej fastställt: vad hotfixen ändrade, huruvida inställningen fortfarande finns i aktuella versioner och huruvida ClickFix-vägen överlever den. Ingen rådgivning, ändringslogg eller CVE-post som beskriver åtgärden förekommer i det granskade materialet.

• Ej fastställt:om någon utsattes i verkligheten, och om sårbarheten var åtkomlig på någon annan plattform än macOS-appen. Alla demonstrationer i materialet kördes på Wardles egna maskiner.

• Ej fastställt:oberoende reproduktion. Båda medierna rapporterade fyndet, och The Register intervjuade Wardle per telefon, men ingen tredje part har publicerat ett eget test av omdirigeringen, och Meta har inte beskrivit felet med egna ord utöver Singletons klassificering.

De preliminära råden, och vad som går att generalisera

Medan åtgärden var obekräftad publicerade The Hacker News en kort lista med försiktighetsåtgärder för Mac-användare, och den är värd att notera eftersom den kartlägger exponeringen exakt. Avsluta eller ta bort Muse, vilket stänger vägen helt. Granska de appar och behörigheter som Muse har och återkalla allt som den inte behöver, så att en kapad agent ärver mindre. Behandla Muse-kontot och de konton som är kopplade till det som exponerade om Macen redan kan vara komprometterad, och ändra lösenorden. Undvik Muses röstinmatning, som är den specifika utlösare som proof-of-conceptet väntar på. Och kör inte kommandon som en webbplats eller ett meddelande säger åt dig att klistra in i Terminal, vilket är hur ClickFix-vägen börjar.

Det överförbara fyndet är mindre än ”AI är osäkert” och skarpare än ”patcha dina appar”. En agents användbarhet och dess skadeomfång är samma tal: de behörigheter som låter Muse läsa filer och skicka meddelanden är samma behörigheter som en angripare ärver genom att styra den, och ingen kontroll som den klarade besegrades i sig. macOS behöll sin appgräns, Metas moln behöll sin avgränsning, och token plockades inte ut från en nyckelring. En inställning som borde ha varit overksam var bärande, och den låg utanför varje lager som byggts för att skydda de data den pekade på. Wardles egen sammanfattning av designavvägningen, som han gav till The Register, är den som överlever patchen: ”De är otroligt praktiska och otroligt stärkande. Men de har så mycket åtkomst om du konfigurerar dem att vara användbara. De kan i princip göra vad som helst på din dator.”