一项未公开的设置就足以让 Meta 的 Muse 变成听写后门

2026 年 9 月 21 日，安全研究员 Patrick Wardle 发布了一个名为 not-a-mused 的概念验证程序，表明 Meta 面向 macOS 的 Muse 助手内部有一项未公开的偏好设置，它决定了该应用会把你口述的内容发送到哪里。这项设置的关键是一个名为 endo_voyager_dictation_endpoint 的键，任何以已登录用户身份运行的进程都能改写它，既不需要管理员密码，也不会触发 macOS 提示。只要把它指向攻击者控制的地址，Muse 的音频和转写文本就会发送到那里，而不是发送给 Meta；Wardle 演示了攻击者随后可以读取口述内容、注入 Muse 会遵从的指令，并窃取一个可用于登录该用户 Muse 账户的令牌——从而触达该账户已登录的每一台设备。Meta 称已于次日发布热修复。目前尚无真实攻击的报告。该档案库自身关于此次披露的记录，连同其严重性评级和引用来源，收录在 AI 事件档案库中，与本系列的其他智能体漏洞条目并列。

该设置有什么作用，以及为什么一个密钥就够了

据 The Register 报道，Wardle 是非营利组织 Objective-See 的联合创始人。Muse 是 Meta 的个人智能体，于 2026 年 9 月早些时候在美国推出；据 The Hacker News 报道，用户一旦启用它，它就能跨其文件、电子邮件、消息、日历、购物和智能家居应用开展工作，并使用用户选择授予它的任何访问权限。Wardle 的发现不在该访问列表中，而在其底层机制中：这款 Mac 应用附带一项设置，会将听写音频路由到设备之外，而它路由到的地址所存储的位置，操作系统无法保护该地址不被以同一用户身份运行的其他程序访问。

用该仓库自己的话来说，这个概念验证表明，“本地攻击者或恶意软件无需特殊权限即可修改此端点”，随后“可以将听写提示发送到攻击者控制的端点”。该仓库列出了这潜在允许的行为：捕获听写音频和提示、向 Muse 注入提示、窃取 Muse 身份验证材料，以及滥用用户授予该应用的任何访问权限。它用一句话总结了后果：“Muse 的访问权限可能变成攻击者的访问权限。”该概念验证实现了其 README 所称的 Muse 公开的 50 多个命令的一个子集。

The Hacker News 描述的流程是机械性的。攻击者在同一台 Mac 上运行的程序会改写该偏好设置，然后等待。用户点击麦克风并说话。音频和生成的文本会被发送到攻击者的程序，而不是 Meta。Wardle 从这一位置演示了三件事：读取用户口述的内容；添加 Muse 信任并执行的额外指令——该媒体将这一效果描述为提示注入——以及窃取用于登录用户 Muse 账户的令牌。

一个令牌，以及其背后的每一台设备

令牌就是离开 Mac 的那部分。Hacker News 报道称，Muse 会把它的身份验证令牌连同被重定向的听写内容一起发送，因此，截获转录文本的同一个监听器也会截获该凭据。Wardle 表示，有了它，攻击者就能读取该账户的聊天记录，并直接向助手下达指令——而且由于一个 Muse 账户可以在多台设备上登录，这些指令并不局限于那台已被入侵的机器。

沃德尔在自己的硬件上运行了那部分。他从 Mac 上指示 iPhone 上的 Muse 应用报告其精确位置、对附近设备进行蓝牙扫描，并列出它可以发送的智能家居命令。Hacker News 为这项演示补充了一个限制：在他的测试中，助手只起草消息，而不是自行发送。

这就是为什么应把这个漏洞视为不仅仅是一次听写泄露的理由。The Register 报道了 Wardle 对总体问题的阐述——macOS 的构建初衷是阻止一个程序读取另一个程序的数据，而一个被授予广泛访问权限的代理程序会成为这些控制措施的单点故障。“坏邻居搬进来，并不意味着这个邻居就自动有权进入所有公寓，”他告诉 The Register。一个拿到了钥匙的助手则是另一回事。

它不做什么

来源中列出了三个限制，它们对任何评估风险敞口的人都很重要。第一，该漏洞本身并不是进入 Mac 的途径：它需要已经有以已登录用户身份运行的代码，这就是为什么 Wardle 的仓库将其标记为“本地攻击”，而 Meta 后来称其为本地权限提升。第二，它无法突破 macOS 的应用隔离——The Hacker News 报道称，它不会跨越那道阻止一个应用读取另一个应用保存的密码和令牌的边界；Muse 自己的令牌会随被重定向的听写内容一起被带出，而该攻击是通过让 Muse 以其已经拥有的访问权限行事来奏效的。第三，它并不能证明 Meta 的云设计已被突破，而公司构建该设计是为了让每个用户的 agent 与其他用户隔离开来。

它确实表明的是，为什么端点安全可能不会注意到。The Hacker News 报道了 Wardle 的观点：这些命令来自 Muse——一个正常的已签名应用——而不是来自看起来像恶意软件的东西；The Register 用他的话说记录了同样的担忧：EDR 产品无法判断一条命令是来自用户、代理，还是攻击者。

Wardle 还给出了一个原因。The Register 报道称，Apple 提供设备端听写功能，而按照他的评估，如果 Meta 使用了该 API，这个漏洞就不会存在；他暗示 Meta 选择不用是因为它想要这些数据，并补充说：“我认为他们对用户数据的某种贪婪在某种程度上打开了大门，扩大了攻击面。”这是他对 Meta 动机的推断，而非有据可查的事实，并且在本文所审阅的报道中，Meta 尚未对此作出回应。

披露、热修复，以及关于标签的争论

{{1}}Wardle在未事先告知Meta的情况下公开了此事。{{/1}}{{2}}据Hacker News报道，他选择全面披露，是为了让用户了解风险，而且这通常是促成修复的最快途径。{{/2}}{{3}}采访他的《The Register》表示，Meta未立即回应其置评请求。{{/3}}

回应在第二天到来，并且附带了一段定性说明。在9月22日的一则社交媒体帖子中，Meta Superintelligence Labs的David Singleton表示，Muse应用已经过修订：“这是一次本地权限提升攻击，而非远程漏洞利用。因此，利用它来造成危害需要恶意代码已经在用户机器上以该用户的账户运行，所以Muse Mac应用对用户的实际风险因此相当低。”帖子还补充道：“尽管如此，我们已为该应用发布热修复程序以解决该问题。”

在一个很窄的点上，双方存在分歧，而这一分歧关乎分类而非机制。Singleton 的说法建立在“需要已有本地代码”这一前提之上。Wardle 告诉 The Hacker News，远程攻击者仍可通过 ClickFix 手法达成目的——即诱导用户把一条命令粘贴进 Terminal，无需下载或安装任何东西——这恰好能提供该漏洞利用所需的本地执行能力。本文查阅的所有消息源均未报告有人实际这样做过，而 ClickFix 途径只是一种已被证明的可能性，而非已被观察到的实际攻击活动。

热修复更改了什么并未公开。The Hacker News 报道称，它无法确认这项更改的作用，并且 Meta 尚未发布安全公告；该存档的记录同样指出，尚未发布任何公告。因此，Muse 用户只有 Meta 关于该问题已得到解决的说法，却没有说明如何解决的任何文档。

什么是已确立的，什么不是

档案馆将该记录的置信度评为 A——记录充分，且有相互印证的一手来源——并且未将其标记为存在争议。该评级并不等于声称实际发生了损害：该记录将真实损害标为“否”，而所审查的报道中没有任何内容描述用户遭到攻击、账户被盗或文件丢失。证据包括一名研究人员的概念验证、其本人的演示以及一份供应商声明。

• 已确认：Muse macOS 应用带有一个未公开的偏好设置，名为 endo_voyager_dictation_endpoint，它控制听写内容发送到哪里；根据 Wardle 的仓库以及两家媒体的报道，以已登录用户身份运行的进程无需提升权限即可重写它。

• 已确认： 据 The Hacker News 报道，重定向该端点会将听写音频和转录文本发送至攻击者控制的地址，Muse 的身份验证令牌也随之传输。

• 已确认：据《The Hacker News》报道，以这种方式获取的令牌可驱动同一账户下其他已登录设备上的 Muse；Wardle 在自己的 iPhone 上演示了位置报告、蓝牙扫描和智能家居命令列表。

• 已确认：该攻击需要以用户身份执行代码，并未突破 macOS 应用隔离，也未破坏 Meta 的云隔离；据 The Hacker News 和 Wardle 的代码仓库。

• 已确认：Wardle 未事先通知 Meta 便披露了此事，Meta 于 9 月 22 日表示已发布热修复；据 The Register 和 The Hacker News 报道。

• 尚未确定：该热修复更改了什么、该偏好设置在当前版本中是否仍然存在，以及 ClickFix 路径是否仍能存续。在已审查的报道中，没有出现描述该修复的安全公告、变更日志或 CVE 条目。

• 尚未确定：是否有任何人在真实环境中被盯上，以及除 macOS 应用之外，该漏洞是否可在其他任何平台上被触及。记录中的每一次演示都在 Wardle 自己的机器上运行。

• 尚未证实：独立复现。两家媒体都报道了这一发现，The Register 还通过电话采访了 Wardle，但尚无第三方发布自己对这一重定向的测试，而 Meta 除了 Singleton 的分类之外，也没有用自己的话描述该缺陷。

临时建议，以及哪些内容具有普遍适用性

在修复方案尚未确认时，The Hacker News 发布了一份面向 Mac 用户的简短预防措施清单，值得记录下来，因为它精确地勾勒出了风险暴露范围。退出或移除 Muse，这会彻底关闭该路径。检查 Muse 持有的应用和权限，并撤销它不需要的任何内容，这样被劫持的代理所继承的东西就更少。如果 Mac 可能已被入侵，就把 Muse 账户以及与其关联的账户视为已暴露，并更改这些密码。避免使用 Muse 的语音输入，因为这是概念验证所等待的具体触发点。并且不要运行网站或消息让你粘贴到 Terminal 中的命令，因为 ClickFix 路径正是由此开始的。

可迁移的发现比“AI 不安全”更小，也比“给你的应用打补丁”更尖锐。智能体的有用程度和它的爆炸半径是同一个数字：让 Muse 读取文件并发送消息的权限，正是攻击者通过操纵它而继承的权限，而它通过的任何控制措施本身都没有被攻破。macOS 守住了其应用边界，Meta 的云保持了隔离，令牌也不是从钥匙串中窃取的。一项本应无作用的偏好设置却成了承重结构，而且它位于所有为保护其指向的数据而构建的防护层之外。Wardle 向 The Register 给出的关于这一设计取舍的总结，才是比补丁更长久的那句话：“它们超级方便，也超级赋能。但如果你把它们配置得有用，它们就拥有太多访问权限。它们基本上能在你的电脑上做任何事。”