การตั้งค่าที่ไม่มีการบันทึกไว้เพียงรายการเดียวก็เพียงพอที่จะเปลี่ยน Muse ของ Meta ให้กลายเป็นแบ็กดอร์สำหรับการป้อนข้อความด้วยเสียง

เมื่อวันที่ 21 กันยายน 2026 Patrick Wardle นักวิจัยด้านความปลอดภัยได้เผยแพร่ proof-of-concept ชื่อ not-a-mused ซึ่งแสดงให้เห็นว่าค่ากำหนดหนึ่งรายการที่ไม่มีเอกสารกำกับภายในผู้ช่วย Muse ของ Meta สำหรับ macOS เป็นตัวกำหนดว่าแอปจะส่งสิ่งที่คุณพูดตามคำบอกไปที่ใด โดยคีย์คือ endo_voyager_dictation_endpoint และกระบวนการใดก็ตามที่ทำงานในฐานะผู้ใช้ที่ล็อกอินอยู่สามารถเขียนค่านี้ใหม่ได้โดยไม่ต้องใช้รหัสผ่านผู้ดูแลระบบหรือการแจ้งเตือนของ macOS หากชี้ค่านี้ไปยังที่อยู่ที่ผู้โจมตีควบคุม เสียงและข้อความถอดความของ Muse ก็จะไปที่นั่นแทนที่จะไปยัง Meta; Wardle แสดงให้เห็นว่าผู้โจมตีสามารถอ่านข้อความที่พูดตามคำบอก แทรกคำสั่งที่ Muse ปฏิบัติตาม และดึงโทเค็นที่ใช้ลงชื่อเข้าใช้บัญชี Muse ของผู้ใช้ — ซึ่งเข้าถึงทุกอุปกรณ์ที่บัญชีนั้นลงชื่อเข้าใช้อยู่ Meta กล่าวว่าได้ออก hotfix ในวันถัดไป ยังไม่มีรายงานการโจมตีในโลกจริง บันทึกของคลังเองเกี่ยวกับการเปิดเผยนี้ พร้อมการให้คะแนนความรุนแรงและแหล่งอ้างอิงที่อ้างถึง อยู่ใน the AI incident archive ควบคู่กับรายการช่องโหว่ของเอเจนต์อื่น ๆ ในชุดนี้

การตั้งค่านี้ทำอะไร และทำไมคีย์เดียวจึงเพียงพอ

Wardle เป็นผู้ร่วมก่อตั้งองค์กรไม่แสวงหากำไร Objective-See ตามรายงานของ The Register Muse เป็นตัวแทนส่วนบุคคลของ Meta ซึ่งเปิดตัวในสหรัฐอเมริกาเมื่อต้นเดือนกันยายน 2026 และ The Hacker News รายงานว่าเมื่อผู้ใช้เปิดใช้งานแล้ว มันสามารถทำงานข้ามไฟล์ อีเมล ข้อความ ปฏิทิน แอปช้อปปิ้ง และแอปบ้านอัจฉริยะของผู้ใช้ โดยใช้การเข้าถึงใดก็ตามที่ผู้ใช้เลือกให้ สิ่งที่ Wardle ค้นพบไม่ได้อยู่ในรายการการเข้าถึงนั้น แต่อยู่ในกลไกพื้นฐานที่รองรับอยู่เบื้องหลัง: แอปบน Mac มาพร้อมการตั้งค่าที่ส่งเสียงจากการป้อนข้อความด้วยเสียงออกนอกอุปกรณ์ และที่อยู่ปลายทางที่ส่งไปนั้นถูกจัดเก็บไว้ในตำแหน่งที่ระบบปฏิบัติการไม่ได้ปกป้องจากการเข้าถึงของโปรแกรมอื่นที่ทำงานในฐานะผู้ใช้คนเดียวกัน

ในถ้อยคำของรีโพซิทอรีเอง ตัวต้นแบบสาธิตให้เห็นว่า "ผู้โจมตีในเครื่องหรือมัลแวร์สามารถแก้ไขเอนด์พอยต์นี้ได้โดยไม่ต้องมีสิทธิ์พิเศษ" หลังจากนั้น "พรอมต์ที่กำหนดไว้สามารถถูกส่งไปยังเอนด์พอยต์ที่ผู้โจมตีควบคุมได้" รีโพซิทอรีระบุถึงสิ่งที่สิ่งนี้อาจเปิดทางให้ ได้แก่ การดักจับเสียงที่สั่งด้วยเสียงและพรอมต์ การฉีดพรอมต์เข้า Muse การขโมยข้อมูลรับรองความถูกต้องของ Muse และการนำสิทธิ์การเข้าถึงใด ๆ ที่ผู้ใช้ให้แอปไว้ไปใช้ในทางที่ผิด รีโพซิทอรีสรุปผลลัพธ์ในบรรทัดเดียวว่า "การเข้าถึงของ Muse อาจกลายเป็นการเข้าถึงของผู้โจมตีได้" ตัวต้นแบบใช้งานสิ่งที่ README ของมันเรียกว่าชุดย่อยของคำสั่งกว่า 50 รายการที่ Muse เปิดให้ใช้

ลำดับเหตุการณ์ที่ The Hacker News อธิบายนั้นเป็นกลไกทางเทคนิค โปรแกรมที่ผู้โจมตีรันบน Mac เครื่องเดียวกันจะเขียนการตั้งค่าใหม่แล้วรอ ผู้ใช้แตะไมโครโฟนและพูด เสียงและข้อความที่ได้จะไปยังโปรแกรมของผู้โจมตีแทนที่จะไปยัง Meta จากตำแหน่งนั้น Wardle สาธิตสามสิ่ง ได้แก่ การอ่านสิ่งที่ผู้ใช้ป้อนด้วยเสียง การเพิ่มคำสั่งพิเศษที่ Muse เชื่อถือและลงมือทำ — สื่อดังกล่าวอธิบายผลลัพธ์ว่าเป็น prompt injection — และการดักจับโทเค็นที่ใช้ลงชื่อเข้าใช้บัญชี Muse ของผู้ใช้

โทเคนหนึ่งรายการ และทุกอุปกรณ์ที่อยู่เบื้องหลังโทเคนนั้น

โทเค็นคือส่วนที่ออกจาก Mac นั้น The Hacker News รายงานว่า Muse ส่งโทเค็นการยืนยันตัวตนไปพร้อมกับการเขียนตามคำบอกที่ถูกเปลี่ยนเส้นทาง ดังนั้นตัวรับฟังตัวเดียวกับที่ดักจับข้อความถอดเสียงก็ดักจับข้อมูลรับรองนั้นด้วย Wardle กล่าวว่า ด้วยสิ่งนี้ ผู้โจมตีสามารถอ่านประวัติแชตของบัญชีและสั่งผู้ช่วยได้โดยตรง — และเนื่องจากบัญชี Muse สามารถลงชื่อเข้าใช้ได้บนหลายอุปกรณ์ คำสั่งเหล่านั้นจึงไม่ได้จำกัดอยู่เพียงเครื่องที่ถูกบุกรุกเท่านั้น

Wardle รันส่วนนั้นบนฮาร์ดแวร์ของตัวเอง จาก Mac เขาสั่งให้แอป Muse บน iPhone ของเขารายงานตำแหน่งที่แน่นอนของอุปกรณ์ สแกน Bluetooth สำหรับอุปกรณ์ใกล้เคียง และแสดงรายการคำสั่งควบคุมบ้านอัจฉริยะที่มันสามารถส่งได้ The Hacker News เสริมข้อจำกัดหนึ่งประการในการสาธิตนี้: ในการทดสอบของเขา ผู้ช่วยเพียงร่างข้อความเท่านั้น แทนที่จะส่งข้อความด้วยตัวเอง

นั่นคือข้อโต้แย้งที่ให้ถือว่าบั๊กนี้เป็นมากกว่าการรั่วไหลจากการป้อนข้อความด้วยเสียง The Register รายงานการวางกรอบปัญหาทั่วไปของ Wardle ว่า macOS ถูกสร้างขึ้นเพื่อป้องกันไม่ให้โปรแกรมหนึ่งอ่านข้อมูลของอีกโปรแกรมหนึ่ง และเอเจนต์ที่ได้รับสิทธิ์เข้าถึงในวงกว้างจะกลายเป็นจุดล้มเหลวเพียงจุดเดียวสำหรับมาตรการควบคุมเหล่านั้น “เพียงเพราะเพื่อนบ้านแย่ ๆ ย้ายเข้ามา ไม่ได้หมายความว่าเพื่อนบ้านคนนั้นจะมีสิทธิ์เข้าถึงอพาร์ตเมนต์ทั้งหมดโดยอัตโนมัติ” เขากล่าวกับ The Register ผู้ช่วยที่ได้รับกุญแจนั้นเป็นอีกเรื่องหนึ่งโดยสิ้นเชิง

สิ่งที่มันไม่ทำ

แหล่งข้อมูลระบุข้อจำกัดสามประการซึ่งมีความสำคัญสำหรับผู้ที่ประเมินความเสี่ยง ประการแรก ช่องโหว่นี้ไม่ใช่ช่องทางเข้าสู่ Mac โดยตัวมันเอง ต้องมีโค้ดที่ทำงานอยู่แล้วในฐานะผู้ใช้ที่ล็อกอินอยู่ ซึ่งเป็นเหตุให้รีโพซิทอรีของ Wardle ระบุว่าเป็น "การโจมตีจากภายในเครื่อง" และ Meta เรียกในภายหลังว่าเป็นการยกระดับสิทธิ์ในเครื่อง ประการที่สอง ไม่สามารถเอาชนะการแยกแอปพลิเคชันของ macOS ได้ — The Hacker News รายงานว่าไม่ข้ามขอบเขตที่ป้องกันไม่ให้แอปหนึ่งอ่านรหัสผ่านและโทเค็นที่บันทึกไว้ของอีกแอปหนึ่ง โทเค็นของ Muse เองติดไปกับการถอดเสียงแบบกำหนดเส้นทางใหม่ และการโจมตีทำงานโดยทำให้ Muse กระทำการด้วยสิทธิ์การเข้าถึงที่มีอยู่แล้ว ประการที่สาม ไม่ได้แสดงให้เห็นว่าการออกแบบคลาวด์ของ Meta ซึ่งบริษัทสร้างขึ้นเพื่อกั้นเอเจนต์ของผู้ใช้แต่ละรายไม่ให้ปะปนกับผู้อื่น ถูกเจาะทะลุ

สิ่งที่มันแสดงให้เห็นก็คือเหตุผลว่าทำไมระบบความปลอดภัยของ endpoint อาจไม่สังเกตเห็น The Hacker News รายงานประเด็นของ Wardle ว่า คำสั่งเหล่านั้นมาจาก Muse ซึ่งเป็นแอปพลิเคชันที่ลงนามตามปกติ ไม่ใช่มาจากสิ่งที่มีลักษณะเหมือนมัลแวร์; The Register บันทึกความกังวลเดียวกันนี้ในถ้อยคำของเขา ว่าผลิตภัณฑ์ EDR ไม่สามารถบอกได้ว่าคำสั่งหนึ่งมาจากผู้ใช้ เอเจนต์ หรือผู้โจมตี

Wardle ยังระบุสาเหตุด้วย The Register รายงานว่า Apple มีฟีเจอร์การป้อนข้อความด้วยเสียงบนอุปกรณ์ และตามการประเมินของเขา ช่องโหว่นี้จะไม่มีอยู่หาก Meta ใช้ API นั้น เขาเสนอว่า Meta เลือกที่จะไม่ใช้เพราะต้องการข้อมูล และเสริมว่า "ฉันคิดว่าความละโมบต่อข้อมูลผู้ใช้ของพวกเขาบางส่วนก็เปิดประตูขึ้นมา ทำให้มีพื้นผิวการโจมตีที่ใหญ่ขึ้น" นั่นเป็นการอนุมานของเขาเกี่ยวกับแรงจูงใจของ Meta ไม่ใช่ข้อเท็จจริงที่มีเอกสารยืนยัน และ Meta ยังไม่ได้ตอบสนองต่อเรื่องนี้ในรายงานข่าวที่ตรวจสอบในที่นี้

การเปิดเผย, ฮอตฟิกซ์ และการโต้เถียงเกี่ยวกับป้ายกำกับ

Wardle เปิดเผยต่อสาธารณะโดยไม่ได้แจ้ง Meta ก่อน The Hacker News รายงานว่าเขาเลือกเปิดเผยแบบเต็มรูปแบบเพื่อให้ผู้ใช้เข้าใจความเสี่ยง และเพราะมักเป็นเส้นทางที่เร็วที่สุดไปสู่การแก้ไข The Register ซึ่งสัมภาษณ์เขากล่าวว่า Meta ไม่ได้ตอบกลับคำขอความเห็นในทันที

คำตอบกลับมาในวันถัดไป พร้อมกับการให้คำอธิบายลักษณะของเหตุการณ์มาด้วย ในโพสต์โซเชียลมีเดียเมื่อวันที่ 22 กันยายน เดวิด ซิงเกิลตัน จาก Meta Superintelligence Labs กล่าวว่าแอป Muse ได้รับการปรับปรุงแก้ไขแล้ว: "นี่เป็นการโจมตีแบบยกระดับสิทธิ์ภายในเครื่อง ไม่ใช่การใช้ช่องโหว่จากระยะไกล ดังนั้น การใช้ช่องโหว่นี้เพื่อสร้างความเสียหายจึงต้องมีโค้ดอันตรายที่ทำงานอยู่บนเครื่องของผู้ใช้ภายใต้บัญชีผู้ใช้ของตนอยู่แล้ว และความเสี่ยงในทางปฏิบัติต่อผู้ใช้แอป Muse บน Mac จึงค่อนข้างต่ำ" โพสต์ดังกล่าวเสริมว่า "อย่างไรก็ตาม เราได้ออกฮอตฟิกซ์ให้กับแอปเพื่อแก้ไขปัญหานี้แล้ว"

ในประเด็นแคบ ๆ ประเด็นหนึ่ง ทั้งสองฝ่ายไม่เห็นตรงกัน และความเห็นต่างนั้นเป็นเรื่องของการจัดประเภทมากกว่ากลไก คำแถลงของ Singleton ตั้งอยู่บนข้อกำหนดเรื่องโค้ดภายในเครื่องที่มีอยู่เดิม Wardle บอกกับ The Hacker News ว่า ผู้โจมตีจากระยะไกลยังอาจไปถึงจุดนั้นได้ผ่านกลอุบาย ClickFix — รูปแบบที่ชักจูงให้ผู้ใช้วางคำสั่งเดียวลงใน Terminal โดยไม่มีอะไรต้องดาวน์โหลดหรือติดตั้ง — ซึ่งจะให้การทำงานภายในเครื่องที่เอ็กซ์พลอยต์ต้องการ ไม่มีแหล่งข่าวใดที่ตรวจสอบสำหรับบทความนี้รายงานว่ามีใครทำเช่นนั้นจริง และเส้นทาง ClickFix เป็นความเป็นไปได้ที่สาธิตให้เห็นแล้ว มากกว่าจะเป็นแคมเปญที่ตรวจพบจริง

สิ่งที่ hotfix เปลี่ยนแปลงไม่ใช่ข้อมูลสาธารณะ The Hacker News รายงานว่าไม่สามารถยืนยันได้ว่าการเปลี่ยนแปลงนั้นทำอะไร และ Meta ยังไม่ได้เผยแพร่คำแนะนำด้านความปลอดภัย บันทึกของคลังข้อมูลยังระบุเช่นกันว่าไม่มีการออกคำแนะนำใด ๆ ผู้ใช้ Muse จึงมีเพียงคำยืนยันจาก Meta ว่าปัญหาได้รับการแก้ไขแล้ว โดยไม่มีเอกสารอธิบายว่าแก้ไขอย่างไร

สิ่งที่ได้รับการยืนยันแล้ว และสิ่งที่ยังไม่ได้รับการยืนยัน

คลังข้อมูลให้คะแนนบันทึกนี้ที่ระดับความเชื่อมั่น A — มีเอกสารประกอบอย่างดี โดยมีแหล่งข้อมูลปฐมภูมิที่สอดคล้องกัน — และไม่ได้ระบุว่าเป็นข้อโต้แย้ง การให้คะแนนดังกล่าวไม่ใช่การกล่าวอ้างว่าเกิดความเสียหายขึ้น: บันทึกนี้ระบุว่าความเสียหายที่เกิดขึ้นจริงเป็นเท็จ และไม่มีสิ่งใดในเนื้อหาที่ตรวจสอบซึ่งบรรยายถึงผู้ใช้ที่ถูกโจมตี บัญชีที่ถูกขโมย หรือไฟล์ที่สูญหาย หลักฐานคือการพิสูจน์แนวคิดของนักวิจัย การสาธิตของเขาเอง และแถลงการณ์จากผู้จำหน่าย

• ยืนยันแล้ว: แอป Muse สำหรับ macOS มีค่ากำหนดที่ไม่ได้ระบุไว้ในเอกสารชื่อ endo_voyager_dictation_endpoint ซึ่งควบคุมตำแหน่งที่ข้อความจากการป้อนด้วยเสียงจะถูกส่งไป และกระบวนการที่ทำงานในฐานะผู้ใช้ที่ลงชื่อเข้าใช้สามารถเขียนค่านี้ใหม่ได้โดยไม่ต้องมีสิทธิ์ระดับสูง ตามรีโพซิทอรีของ Wardle และสื่อทั้งสองแห่ง

• ยืนยันแล้ว:การเปลี่ยนเส้นทางปลายทางนั้นทำให้เสียงจากการป้อนคำพูดและข้อความถอดเสียงถูกส่งไปยังที่อยู่ที่ผู้โจมตีควบคุม และโทเค็นการรับรองความถูกต้องของ Muse ก็ถูกส่งไปด้วย ตามรายงานของ The Hacker News

• ยืนยันแล้ว: โทเคนที่ได้มาด้วยวิธีดังกล่าวสามารถสั่งการ Muse บนอุปกรณ์อื่นที่ลงชื่อเข้าใช้บัญชีเดียวกันได้؛ Wardle สาธิตการรายงานตำแหน่ง การสแกนบลูทูธ และรายการคำสั่งสมาร์ตโฮมบน iPhone ของเขาเอง ตามรายงานของ The Hacker News

• ยืนยันแล้ว:การโจมตีจำเป็นต้องมีการรันโค้ดในสิทธิ์ของผู้ใช้ ไม่สามารถเอาชนะการแยกแอปพลิเคชันของ macOS และไม่ได้ละเมิดการแยกคลาวด์ของ Meta ตามข้อมูลจาก The Hacker News และรีโพซิทอรีของ Wardle

• ยืนยันแล้ว:Wardle เปิดเผยโดยไม่ได้แจ้ง Meta ล่วงหน้า และ Meta กล่าวเมื่อวันที่ 22 กันยายนว่าได้ออกฮอตฟิกซ์แล้ว ตามรายงานของ The Register และ The Hacker News

• ยังไม่สามารถยืนยันได้ว่า: hotfix เปลี่ยนแปลงอะไรบ้าง ค่ากำหนดค่านั้นยังมีอยู่ในบิลด์ปัจจุบันหรือไม่ และเส้นทาง ClickFix ยังคงอยู่รอดหรือไม่ ไม่มีคำแนะนำ บันทึกการเปลี่ยนแปลง หรือรายการ CVE ที่อธิบายการแก้ไขปรากฏในขอบเขตที่ตรวจสอบ

• ยังไม่เป็นที่ยืนยัน:ว่ามีใครตกเป็นเป้าหมายในการโจมตีจริงหรือไม่ และช่องโหว่นี้สามารถเข้าถึงได้บนแพลตฟอร์มใดนอกเหนือจากแอป macOS หรือไม่ การสาธิตทั้งหมดในบันทึกเกิดขึ้นบนเครื่องของ Wardle เอง

• ยังไม่ได้รับการยืนยัน:การจำลองซ้ำโดยอิสระ ทั้งสองสำนักข่าวรายงานการค้นพบนี้ และ The Register สัมภาษณ์ Wardle ทางโทรศัพท์ แต่ยังไม่มีบุคคลที่สามรายใดเผยแพร่การทดสอบการเปลี่ยนเส้นทางของตนเอง และ Meta ยังไม่ได้อธิบายข้อบกพร่องนี้ด้วยคำพูดของตนเอง นอกเหนือจากการจำแนกประเภทของ Singleton

คำแนะนำชั่วคราว และสิ่งที่สามารถนำไปใช้เป็นหลักทั่วไปได้

ในระหว่างที่ยังไม่มีการยืนยันว่าปัญหาได้รับการแก้ไขแล้ว The Hacker News ได้เผยแพร่รายการข้อควรระวังสั้น ๆ สำหรับผู้ใช้ Mac และน่าบันทึกไว้เพราะรายการนี้ระบุขอบเขตความเสี่ยงได้อย่างแม่นยำ ให้ออกจาก Muse หรือถอน Muse ออก ซึ่งจะปิดเส้นทางนั้นทั้งหมด ตรวจสอบแอปและสิทธิ์ที่ Muse มีอยู่ และเพิกถอนสิ่งที่ Muse ไม่จำเป็นต้องใช้ เพื่อให้ตัวแทนที่ถูกยึดครองได้รับช่วงต่อสิ่งต่าง ๆ น้อยลง ถือว่าบัญชี Muse และบัญชีที่เชื่อมต่อกับบัญชีนั้นมีความเสี่ยงหาก Mac อาจถูกโจมตีไปแล้ว และให้เปลี่ยนรหัสผ่านเหล่านั้น หลีกเลี่ยงการป้อนเสียงของ Muse ซึ่งเป็นตัวกระตุ้นเฉพาะที่ proof-of-concept รออยู่ และอย่ารันคำสั่งที่เว็บไซต์หรือข้อความบอกให้คุณวางลงใน Terminal ซึ่งเป็นจุดเริ่มต้นของเส้นทาง ClickFix

ข้อค้นพบที่ถ่ายทอดได้นี้เล็กกว่าคำว่า "AI ไม่ปลอดภัย" และคมกว่าคำว่า "อัปเดตแพตช์แอปของคุณ" ความมีประโยชน์ของเอเจนต์กับรัศมีผลกระทบของมันคือตัวเลขเดียวกัน: สิทธิ์ที่ทำให้ Muse อ่านไฟล์และส่งข้อความได้ ก็คือสิทธิ์ที่ผู้โจมตีได้รับสืบทอดมาโดยการชี้นำมัน และไม่มีมาตรการควบคุมใดที่มันผ่านมาซึ่งถูกเอาชนะ macOS รักษาขอบเขตแอปของตนไว้ เมฆของ Meta รักษาการแยกส่วนไว้ และโทเคนไม่ได้ถูกดึงออกมาจากคีย์เชน การตั้งค่าที่ควรจะเป็นกลางเฉยกลับเป็นส่วนรับน้ำหนัก และมันอยู่นอกทุกชั้นที่สร้างขึ้นเพื่อปกป้องข้อมูลที่มันชี้ไป สรุปของ Wardle เองเกี่ยวกับการแลกเปลี่ยนในการออกแบบ ซึ่งให้กับ The Register คือสิ่งที่อยู่ยืนยาวกว่าการแพตช์: "พวกมันสะดวกสุด ๆ และเสริมพลังสุด ๆ แต่พวกมันเข้าถึงได้มากขนาดนั้นถ้าคุณตั้งค่าให้มันมีประโยชน์ พวกมันโดยพื้นฐานแล้วทำอะไรก็ได้บนคอมพิวเตอร์ของคุณ"