Một cài đặt không được tài liệu hóa đã đủ để biến Muse của Meta thành cửa hậu cho việc đọc chính tả

Vào ngày 21 tháng 9 năm 2026, nhà nghiên cứu bảo mật Patrick Wardle đã công bố một bản chứng minh khái niệm có tên not-a-mused cho thấy một tùy chọn không được ghi nhận tài liệu bên trong trợ lý Muse của Meta dành cho macOS quyết định nơi ứng dụng gửi những gì bạn đọc chính tả. Khóa là endo_voyager_dictation_endpoint, và bất kỳ tiến trình nào chạy dưới quyền người dùng đang đăng nhập đều có thể ghi đè nó mà không cần mật khẩu quản trị viên hay lời nhắc của macOS. Trỏ nó tới một địa chỉ do kẻ tấn công kiểm soát và âm thanh cùng bản chép lời của Muse sẽ đi tới đó thay vì tới Meta; Wardle đã cho thấy kẻ tấn công sau đó có thể đọc nội dung chính tả, chèn các chỉ dẫn mà Muse tuân theo, và lấy một token dùng để đăng nhập vào tài khoản Muse của người dùng — từ đó vươn tới mọi thiết bị nơi tài khoản đó đang đăng nhập. Meta nói rằng họ đã phát hành bản vá nóng vào ngày hôm sau. Chưa có báo cáo nào về một cuộc tấn công trong thực tế. Bản ghi của chính kho lưu trữ về lần tiết lộ này, cùng với phân loại mức độ nghiêm trọng và các nguồn được trích dẫn, nằm trong kho lưu trữ sự cố AI cùng với các mục về lỗ hổng tác nhân khác trong loạt bài này.

Cài đặt này làm gì và vì sao chỉ một khóa là đủ

Wardle là đồng sáng lập của tổ chức phi lợi nhuận Objective-See, The Register đưa tin. Muse là tác nhân cá nhân của Meta, ra mắt tại Hoa Kỳ vào đầu tháng 9 năm 2026, và The Hacker News đưa tin rằng sau khi người dùng bật nó lên, nó có thể hoạt động trên các tệp, email, tin nhắn, lịch, mua sắm và ứng dụng nhà thông minh của họ, sử dụng bất kỳ quyền truy cập nào mà người đó chọn cấp cho nó. Phát hiện của Wardle không nằm trong danh sách quyền truy cập đó. Mà nằm ở phần "đường ống" bên dưới: ứng dụng Mac đi kèm một cài đặt định tuyến âm thanh đọc chính tả ra khỏi thiết bị, và địa chỉ mà nó định tuyến tới được lưu ở nơi hệ điều hành không bảo vệ nó khỏi các chương trình khác đang chạy dưới cùng người dùng.

Theo lời của chính kho lưu trữ, bản chứng minh khái niệm cho thấy rằng “kẻ tấn công cục bộ hoặc phần mềm độc hại có thể sửa đổi điểm cuối này mà không cần đặc quyền đặc biệt”, sau đó “có thể gửi các lệnh nhắc được đọc chính tả đến một điểm cuối do kẻ tấn công kiểm soát”. Kho lưu trữ liệt kê những gì điều đó có thể cho phép: thu giữ âm thanh và lệnh nhắc được đọc chính tả, chèn lệnh nhắc vào Muse, đánh cắp thông tin xác thực của Muse và lạm dụng bất kỳ quyền truy cập nào mà người dùng đã cấp cho ứng dụng. Nó tóm tắt hậu quả trong một dòng: “Quyền truy cập của Muse có thể trở thành quyền truy cập của kẻ tấn công.” Bản chứng minh khái niệm triển khai thứ mà README của nó gọi là một tập con của hơn 50 lệnh mà Muse cung cấp.

Chuỗi thao tác mà The Hacker News mô tả mang tính máy móc. Một chương trình do kẻ tấn công chạy trên cùng chiếc Mac sẽ ghi đè tùy chọn, rồi chờ. Người dùng chạm vào micrô và nói. Âm thanh và văn bản tạo ra sẽ đi đến chương trình của kẻ tấn công thay vì đến Meta. Từ vị trí đó, Wardle đã chứng minh ba điều: đọc được những gì người dùng đã đọc chính tả, thêm các chỉ dẫn bổ sung mà Muse tin tưởng và thực hiện — trang tin mô tả hiệu ứng này là prompt injection — và đánh cắp token dùng để đăng nhập vào tài khoản Muse của người dùng.

Một token, và mọi thiết bị phía sau nó

Mã thông báo là phần rời khỏi máy Mac. The Hacker News đưa tin rằng Muse gửi mã thông báo xác thực của mình cùng với phần đọc chính tả được chuyển hướng, nên cùng một trình lắng nghe bắt được bản ghi cũng bắt được thông tin xác thực. Wardle cho biết, với nó, kẻ tấn công có thể đọc lịch sử trò chuyện của tài khoản và ra lệnh trực tiếp cho trợ lý — và vì một tài khoản Muse có thể được đăng nhập trên nhiều thiết bị, những mệnh lệnh đó không chỉ giới hạn ở chiếc máy bị xâm phạm.

Wardle đã chạy phần đó trên phần cứng của riêng mình. Từ chiếc Mac, anh điều khiển ứng dụng Muse trên iPhone của mình báo cáo vị trí chính xác của nó, chạy quét Bluetooth các thiết bị lân cận và liệt kê các lệnh nhà thông minh mà nó có thể gửi. The Hacker News bổ sung một giới hạn cho cuộc trình diễn: trong các thử nghiệm của anh, trợ lý chỉ soạn thảo tin nhắn chứ không tự gửi chúng.

Đó là lý lẽ để coi lỗi này không chỉ là một vụ rò rỉ đọc chính tả. The Register đưa tin về cách Wardle diễn giải vấn đề chung — rằng macOS được xây dựng để ngăn một chương trình đọc dữ liệu của chương trình khác, và rằng một tác nhân được cấp quyền truy cập rộng sẽ trở thành điểm lỗi duy nhất đối với các biện pháp kiểm soát đó. “Chỉ vì một người hàng xóm tồi tệ chuyển đến không có nghĩa là người hàng xóm đó tự động có quyền vào tất cả các căn hộ,” ông nói với The Register. Một trợ lý đã được trao chìa khóa lại là một câu chuyện khác.

Những gì nó không làm

Ba giới hạn được nêu trong các nguồn và có ý nghĩa với bất kỳ ai đánh giá mức độ phơi nhiễm. Thứ nhất, lỗ hổng không phải là cách để xâm nhập vào máy Mac tự nó: nó cần mã đã chạy dưới danh nghĩa người dùng đã đăng nhập, đó là lý do kho lưu trữ của Wardle gắn nhãn nó là “một cuộc tấn công cục bộ” và Meta sau đó gọi nó là leo thang đặc quyền cục bộ. Thứ hai, nó không đánh bại được cơ chế cô lập ứng dụng của macOS — The Hacker News đưa tin rằng nó không vượt qua ranh giới ngăn một ứng dụng đọc mật khẩu và token đã lưu của ứng dụng khác; token của chính Muse đi kèm với phần đọc chính tả bị chuyển hướng, và cuộc tấn công hoạt động bằng cách khiến Muse hành động với quyền truy cập mà nó vốn đã có. Thứ ba, nó không cho thấy thiết kế đám mây của Meta, thứ mà công ty xây dựng để giữ tác nhân của mỗi người dùng tách biệt khỏi những người khác, đã bị phá vỡ.

Điều nó cho thấy là tại sao bảo mật endpoint có thể không phát hiện ra. The Hacker News đưa tin về quan điểm của Wardle rằng các lệnh đến từ Muse, một ứng dụng đã ký bình thường, chứ không phải từ thứ gì đó trông giống malware; The Register ghi lại cùng mối lo ngại bằng lời của ông, rằng một sản phẩm EDR không thể phân biệt liệu một lệnh đến từ người dùng, agent, hay kẻ tấn công.

Wardle cũng gán một nguyên nhân. The Register đưa tin rằng Apple cung cấp tính năng đọc chính tả trên thiết bị và theo đánh giá của ông, lỗ hổng sẽ không tồn tại nếu Meta sử dụng API đó; ông cho rằng Meta đã chọn không làm vậy vì muốn có dữ liệu, và nói thêm: "Tôi nghĩ một phần sự tham lam của họ đối với dữ liệu người dùng kiểu như mở ra cánh cửa, tạo ra bề mặt tấn công lớn hơn." Đó là suy luận của ông về động cơ của Meta, không phải sự thật được ghi nhận, và Meta chưa phản hồi về điều này trong các bài đưa tin được xem xét ở đây.

Tiết lộ, bản vá nóng và một cuộc tranh cãi về nhãn

Wardle công bố công khai mà không báo trước cho Meta. Theo The Hacker News đưa tin, ông chọn cách công bố toàn bộ thông tin để người dùng hiểu được rủi ro, và bởi vì đây thường là con đường nhanh nhất để có bản vá. The Register, đơn vị đã phỏng vấn ông, cho biết Meta không phản hồi ngay yêu cầu bình luận của họ.

Phản hồi đến vào ngày hôm sau, và nó đi kèm với một cách diễn giải được gắn theo. Trong một bài đăng trên mạng xã hội vào {{1}}22 tháng 9{{/1}}, David Singleton của Meta Superintelligence Labs cho biết ứng dụng Muse đã được sửa đổi: “Đây là một cuộc tấn công leo thang đặc quyền cục bộ, không phải khai thác từ xa. Do đó, việc sử dụng nó để gây hại đòi hỏi mã độc đã chạy trên máy của người dùng dưới tài khoản người dùng của họ và do đó rủi ro thực tế đối với người dùng ứng dụng Muse Mac là khá thấp.” Bài đăng nói thêm: “Tuy nhiên, chúng tôi đã phát hành một hotfix cho ứng dụng để khắc phục sự cố.”

Ở một điểm hẹp, hai bên bất đồng, và sự bất đồng là về cách phân loại chứ không phải cơ chế. Phát biểu của Singleton dựa trên yêu cầu phải có mã cục bộ sẵn có. Wardle nói với The Hacker News rằng kẻ tấn công từ xa vẫn có thể tiếp cận được qua một thủ thuật ClickFix — mô thức dụ người dùng dán một lệnh duy nhất vào Terminal, không có gì phải tải xuống hay cài đặt — thứ sẽ cung cấp khả năng thực thi cục bộ mà khai thác cần. Không có nguồn nào được xem xét cho bài viết này báo cáo rằng ai đó đã thực sự làm vậy, và con đường ClickFix là một khả năng đã được chứng minh chứ không phải một chiến dịch đã được quan sát.

Những gì bản hotfix thay đổi không được công khai. The Hacker News đưa tin rằng họ không thể xác nhận thay đổi đó có tác dụng gì và rằng Meta đã không công bố một khuyến cáo bảo mật; hồ sơ của kho lưu trữ cũng ghi nhận rằng chưa có khuyến cáo nào được phát hành. Do đó, một người dùng Muse chỉ có lời của Meta rằng vấn đề đã được giải quyết, và không có tài liệu nào mô tả cách thức.

Những gì đã được xác lập, và những gì chưa.

Kho lưu trữ chấm hồ sơ này mức tin cậy A — được ghi chép đầy đủ, với các nguồn sơ cấp đồng thuận — và không đánh dấu nó là đang tranh chấp. Mức chấm đó không phải là tuyên bố rằng đã xảy ra tổn hại: hồ sơ ghi tổn hại thực tế là sai, và không có nội dung nào trong phạm vi đưa tin đã xem xét mô tả một người dùng bị tấn công, một tài khoản bị đánh cắp hay một tệp bị mất. Bằng chứng là bản chứng minh khái niệm của một nhà nghiên cứu, các màn trình diễn của chính ông ấy, và một tuyên bố của nhà cung cấp.

• Đã xác định: ứng dụng Muse trên macOS có một tùy chọn không được ghi tài liệu tên là endo_voyager_dictation_endpoint điều khiển nơi lệnh đọc chính tả được gửi đến, và một tiến trình chạy dưới người dùng đã đăng nhập có thể ghi đè nó mà không cần quyền nâng cao, theo kho lưu trữ của Wardle và cả hai trang tin.

• Đã xác nhận: việc chuyển hướng điểm cuối đó đã gửi âm thanh đọc chính tả và bản ghi lời thoại đến một địa chỉ do kẻ tấn công kiểm soát, và mã thông báo xác thực của Muse đã đi kèm theo đó, theo The Hacker News.

• Đã xác lập: một token có được theo cách đó có thể điều khiển Muse trên các thiết bị khác đang đăng nhập vào cùng tài khoản; Wardle đã trình diễn báo cáo vị trí, quét Bluetooth và danh sách lệnh nhà thông minh trên iPhone của chính mình, theo The Hacker News.

• Đã xác định: cuộc tấn công yêu cầu thực thi mã với tư cách người dùng, không vượt qua được tính cách ly ứng dụng của macOS và không xâm phạm ranh giới tách biệt đám mây của Meta, theo The Hacker News và kho lưu trữ của Wardle.

• Đã xác nhận:Wardle đã tiết lộ mà không thông báo trước cho Meta, và Meta cho biết vào ngày 22 tháng 9 rằng họ đã phát hành một hotfix, theo The Register và The Hacker News.

• Chưa xác định: hotfix đã thay đổi những gì, liệu tùy chọn đó có còn tồn tại trong các bản dựng hiện tại hay không, và liệu đường dẫn ClickFix có vượt qua được nó hay không. Không có thông báo, nhật ký thay đổi hay mục CVE nào mô tả bản sửa lỗi xuất hiện trong phạm vi nội dung được xem xét.

• Chưa được xác lập: liệu có ai bị nhắm mục tiêu trong thực tế hay không, và liệu lỗ hổng có thể bị khai thác trên bất kỳ nền tảng nào khác ngoài ứng dụng macOS hay không. Mọi minh chứng trong hồ sơ đều chạy trên chính máy của Wardle.

• Chưa được xác lập:việc tái tạo độc lập. Cả hai hãng tin đều đưa tin về phát hiện này, và The Register đã phỏng vấn Wardle qua điện thoại, nhưng chưa có bên thứ ba nào công bố thử nghiệm của riêng mình đối với chuyển hướng, và Meta chưa mô tả lỗ hổng bằng lời của chính mình ngoài cách phân loại của Singleton.

Lời khuyên tạm thời và những điều có thể khái quát hóa

Trong khi bản sửa lỗi chưa được xác nhận, The Hacker News đã công bố một danh sách ngắn các biện pháp phòng ngừa dành cho người dùng Mac, và đáng để ghi lại vì nó phác họa chính xác phạm vi phơi nhiễm. Thoát hoặc gỡ Muse, việc này đóng hoàn toàn con đường tấn công. Xem lại các ứng dụng và quyền mà Muse nắm giữ và thu hồi bất cứ thứ gì nó không cần, để một agent bị chiếm quyền kế thừa được ít hơn. Coi tài khoản Muse và các tài khoản được kết nối với nó là đã bị lộ nếu máy Mac có thể đã bị xâm phạm, và đổi các mật khẩu đó. Tránh tính năng nhập bằng giọng nói của Muse, đây là tác nhân kích hoạt cụ thể mà bản chứng minh khái niệm chờ đợi. Và không chạy các lệnh mà một trang web hoặc tin nhắn bảo bạn dán vào Terminal, vì đây là cách con đường ClickFix bắt đầu.

Phát hiện có thể chuyển giao này nhỏ hơn "AI không an toàn" và sắc bén hơn "vá ứng dụng của bạn." Tính hữu ích của một tác nhân và bán kính ảnh hưởng của nó là cùng một con số: các quyền cho phép Muse đọc tệp và gửi tin nhắn cũng là các quyền mà kẻ tấn công thừa hưởng bằng cách dẫn dắt nó, và không có biện pháp kiểm soát nào nó đã vượt qua lại bị đánh bại. macOS giữ nguyên ranh giới ứng dụng của mình, đám mây của Meta giữ nguyên sự tách biệt, và token không bị lấy khỏi keychain. Một tùy chọn lẽ ra phải trơ vô hại lại mang tính chịu lực, và nó nằm ngoài mọi lớp được xây dựng để bảo vệ dữ liệu mà nó trỏ tới. Bản tóm tắt của chính Wardle về sự đánh đổi trong thiết kế, đưa cho The Register, là điều còn sống lâu hơn bản vá: "Chúng siêu tiện lợi và siêu trao quyền. Nhưng chúng có quá nhiều quyền truy cập nếu bạn cấu hình chúng để hữu ích. Về cơ bản chúng có thể làm bất cứ điều gì trên máy tính của bạn."