一個未公開的設定，就足以讓 Meta 的 Muse 變成聽寫後門
- Orca新OrcaCyber: MiMo V2.6 Flash Abliterated2026-10-26$0.80 / $1.60 每百萬 tokens · 142 tok/s
- Moonshot新MoonshotAI: Kimi K3.1 Pro2026-10-2455智能
- Orca新OrcaCyber: DeepSeek V4.1 Flash Abliterated2026-10-23$0.80 / $1.60 每百萬 tokens · 138 tok/s
- minimax新MiniMax: M3.1 Flash2026-10-1943智能
- Orca新Orca: OrcaCyber Ultra 1.02026-10-17$5.00 / $10.00 每百萬 tokens · 42 tok/s
- deepseek新DeepSeek: DeepSeek V4.1 Flash 10172026-10-1745智能
- DeepSeek新DeepSeek: DeepSeek V4.1 Flash2026-10-1740智能
- OrcaOrca: OrcaCyber Zero 1.52026-10-10$3.00 / $7.50 每百萬 tokens · 114 tok/s
- openaiOpenAI: GPT-6.1 Sol2026-09-2952智能
- anthropicAnthropic: Claude Sonnet 5.52026-09-2856智能
- typesafeTypeSafe: Jev 1.132026-09-24$0.04 / $0.00 每百萬 tokens · 697 tok/s
- OpenAIOpenAI: GPT-6 Luna2026-09-2238智能
- OpenAIOpenAI: GPT-6 Sol2026-09-2248智能
- AnthropicAnthropic: Claude Opus 5.52026-09-2258智能
- xiaomiXiaomi: MiMo-V2.6-Flash2026-09-21$0.14 / $0.28 每百萬 tokens · 45 tok/s
- xiaomiXiaomi: MiMo-V2.6-Pro2026-09-21$0.43 / $0.87 每百萬 tokens · 49 tok/s
- xAIGrok 4.72026-09-2146智能
- OrcaOrca: OrcaCyber Zero 1.02026-09-17$3.00 / $7.50 每百萬 tokens · 237 tok/s
- OrcaOrca: OrcaVerify Text 1.02026-09-16$2.00 / $0.00 每百萬 tokens · 3445 tok/s
- OpenAIOpenAI: GPT-6 Astra2026-09-0453智能77程式
2026 年 9 月 21 日，安全研究員 Patrick Wardle 發布了一個名為 not-a-mused 的概念驗證，展示 Meta 為 macOS 提供的 Muse 助理中，有一項未記載的偏好設定會決定應用程式把你口述的內容傳送到哪裡。關鍵是 endo_voyager_dictation_endpoint，而任何以已登入使用者身分執行的程序，都能在無須管理員密碼、也不會出現 macOS 提示的情況下改寫它。只要把它指向攻擊者控制的位址，Muse 的音訊與逐字稿就會送到那裡，而非 Meta；Wardle 展示攻擊者接著能讀取口述內容、注入 Muse 會遵從的指令，並取得可用來登入該使用者 Muse 帳號的權杖——進而觸及該帳號已登入的每一部裝置。Meta 表示他們隔天就發布了熱修復。目前沒有通報任何真實世界的攻擊。該檔案庫本身對這次揭露的紀錄，連同其嚴重性分級與引用來源，收錄於 AI 事件檔案庫，與本系列其他代理程式漏洞條目並列。
這個設定的作用，以及為什麼一把金鑰就足夠
The Register 報導，Wardle 是非營利組織 Objective-See 的共同創辦人。Muse 是 Meta 的個人代理人，於 2026 年 9 月稍早在美國推出；The Hacker News 報導，使用者一旦開啟它，它就能在該使用者的檔案、電子郵件、訊息、行事曆、購物與智慧家庭應用程式之間運作，並使用該使用者選擇賦予它的任何存取權限。Wardle 的發現不在那份存取權限清單中，而是在其底層的管線裡：這款 Mac 應用程式內建一項設定，會將聽寫音訊路由到裝置外，而它路由到的位址儲存在作業系統未加以保護、無法防止以同一使用者身分執行的其他程式存取的地方。
在該儲存庫自己的說法中，這個概念驗證展示了「本機攻擊者或惡意軟體可在沒有特殊權限的情況下修改此端點」，之後「可將口述提示傳送到由攻擊者控制的端點」。該儲存庫列出了這可能允許的事項：擷取口述的音訊與提示、將提示注入 Muse、竊取 Muse 的驗證資料，以及濫用使用者授予該應用程式的任何存取權限。它用一句話總結後果：「Muse 的存取權限可能變成攻擊者的存取權限。」這個概念驗證實作了其 README 所稱、Muse 所暴露 50 多個命令中的一個子集。
《The Hacker News》描述的程序是機械性的。攻擊者在同一台 Mac 上執行的程式會改寫偏好設定，然後等待。使用者點按麥克風並說話。音訊和產生的文字會送往攻擊者的程式，而不是 Meta。Wardle 從這個位置展示了三件事：讀取使用者口述的內容、加入 Muse 信任並據以行動的額外指令——該媒體將這種效果描述為提示詞注入——以及取得用來登入使用者 Muse 帳戶的權杖。
一個權杖，以及其背後的所有裝置
權杖{{1}}就是離開 Mac 的那個部分{{/1}}。《Hacker News》{{2}}報導指出{{/2}}，Muse 會將它的驗證權杖連同重新導向的聽寫內容一起送出，因此擷取轉錄稿的同一個監聽器也會擷取到這項憑證。Wardle 表示，有了它，攻擊者就能讀取該帳號的聊天紀錄，並直接向助理下達指令——而且由於一個 Muse 帳號可以在多台裝置上登入，這些指令不會只侷限於遭到入侵的那台機器。
Wardle 在自己的硬體上執行那部分。他從 Mac 指揮 iPhone 上的 Muse 應用程式回報其確切位置、對附近裝置執行藍牙掃描，並列出它能送出的智慧家庭指令。The Hacker News 為這項示範加了一個限制：在他的測試中，助理只會起草訊息，而非自行送出。
這就是把這個漏洞視為不只是聽寫外洩的論據。《The Register》報導了 Wardle 對這個一般性問題的闡述——macOS 的設計本是為了阻止一個程式讀取另一個程式的資料，而一個被授予廣泛存取權限的代理程式，會成為這些控制措施的單點故障。他告訴《The Register》：「壞鄰居搬進來，並不代表那個鄰居就自動能進出所有公寓。」一個被交予鑰匙的助理，則是另一回事。
它不做什麼
來源中陳述了三項限制，對任何評估曝險的人來說都很重要。首先，這個漏洞本身並不是進入 Mac 的途徑：它需要已有程式碼以登入使用者的身分執行，這就是為什麼 Wardle 的儲存庫將其標為「本機攻擊」，而 Meta 後來稱其為本機權限提升。其次，它並未突破 macOS 的應用程式隔離——The Hacker News 報導指出，它不會跨越那道阻止某個應用程式讀取另一個應用程式所儲存密碼與權杖的界線；Muse 自身的權杖是隨著被重新導向的聽寫內容一起帶過去的，而這項攻擊之所以奏效，是靠讓 Muse 以其原本就擁有的存取權限行事。第三，它並未顯示 Meta 的雲端設計已被攻破——該公司打造這套設計，是要讓每位使用者的代理程式與他人隔離。
它確實顯示出的，是端點安全為何可能不會注意到。The Hacker News 報導了 Wardle 的觀點：這些命令來自 Muse，一個正常的已簽署應用程式，而不是來自看起來像惡意軟體的東西；The Register 以他的話記錄了同樣的疑慮：EDR 產品無法分辨命令是來自使用者、代理程式，還是攻擊者。
Wardle 也指出了一項成因。The Register 報導，Apple 提供裝置端聽寫功能，而依他的評估，如果 Meta 使用了那個 API，這個漏洞就不會存在；他暗示 Meta 之所以選擇不用，是因為它想要這些資料，並補充道：「我認為他們對使用者資料的某種貪婪，某種程度上打開了大門，讓攻擊面變得更大。」這是他對 Meta 動機的推論，並非經證實的事實，而在本文檢視的報導中，Meta 並未對此作出回應。
揭露、熱修復，以及關於標籤的爭論
Wardle 在未事先告知 Meta 的情況下便公開此事。The Hacker News 報導，他選擇完整揭露，是為了讓使用者了解風險，也因為這往往是最快獲得修復的途徑。曾採訪他的 The Register 表示，Meta 並未立即回覆其置評請求。
回應隔天到來，而且還附帶了一項定性。Meta Superintelligence Labs 的 David Singleton 在 9 月 22 日的一則社群媒體貼文中表示，Muse 應用程式已經修訂：「這是一起本地權限提升攻擊，而非遠端漏洞利用。因此，若要利用它造成危害，惡意程式碼必須已經在使用者帳號下於其電腦上執行，所以 Muse Mac 應用程式對使用者的實際風險因而相當低。」該貼文還補充：「儘管如此，我們已向該應用程式發布熱修復，以解決此問題。」
在一個狹隘的論點上，雙方意見分歧，而分歧在於分類而非機制。Singleton 的說法建立在「必須已有本機程式碼」這項要求上。Wardle 告訴 The Hacker News，遠端攻擊者仍可透過 ClickFix 手法達到目的——這種模式說服用戶將單一指令貼到 Terminal，無需下載或安裝任何東西——這將提供該漏洞利用所需的本機執行。本文檢視的來源均未報導有人實際這麼做，而 ClickFix 途徑是已證實的可能性，而非已觀察到的實際攻擊行動。
熱修復究竟改了什麼並未公開。The Hacker News 報導指出，它無法確認這項變更的作用，且 Meta 尚未發布安全公告；該檔案庫的紀錄同樣指出，尚未發布任何公告。因此，Muse 使用者只有 Meta 的說法，表示該問題已獲處理，卻沒有任何文件說明是如何處理的。
什麼是已經確立的，什麼不是
檔案將此紀錄評為信心等級 A——文獻記載充分，且一手來源彼此一致——並且未將其標記為有爭議。這項評級並不代表曾發生實際傷害：該紀錄將「實際傷害」標記為否，而所檢視的報導中，沒有任何內容描述使用者遭攻擊、帳號被竊或檔案遺失。證據包括一名研究人員的概念驗證、他本人的示範，以及一份廠商聲明。
• 已確認：Muse macOS 應用程式帶有名為 endo_voyager_dictation_endpoint 的未記載偏好設定，該設定控制聽寫內容的傳送目的地，且以登入使用者身分執行的程序無需提高權限即可改寫它，根據 Wardle 的儲存庫與兩家媒體的報導。
• 已證實：根據 The Hacker News 報導，將該端點重新導向，會把聽寫音訊與轉錄文字傳送至攻擊者控制的位址，而 Muse 的驗證權杖也隨之一併外流。
• 已證實：以那種方式取得的權杖，可在登入同一帳號的其他裝置上驅動 Muse；根據《The Hacker News》報導，Wardle 在自己的 iPhone 上示範了位置回報、藍牙掃描以及智慧家庭指令清單。
• 已確立：根據 The Hacker News 與 Wardle 的儲存庫，該攻擊需要以使用者身分執行程式碼、未能突破 macOS 應用程式隔離，且未破壞 Meta 的雲端隔離。
• 已確認：Wardle 未事先通知 Meta 即公開披露，而 Meta 於 9 月 22 日表示已發布熱修復，據 The Register 與 The Hacker News 報導。
• 尚未確認：熱修復程式做了哪些變更、該偏好設定在目前版本中是否仍然存在，以及 ClickFix 路徑是否能在此修正後依然存續。在所檢視的報導中，並未出現任何說明此項修正的公告、變更記錄或 CVE 條目。
• 尚未確立：是否有人在真實環境中遭到針對性攻擊，以及該漏洞是否可在 macOS 應用程式以外的任何平台上觸及。紀錄中的每一次示範，都是在 Wardle 自己的機器上執行。
• 尚未確立：獨立重現。兩家媒體都報導了這項發現，The Register 也透過電話採訪了 Wardle，但尚無第三方公布自己對該重新導向的測試，而 Meta 除了 Singleton 的分類之外，並未以自己的說法描述該缺陷。
臨時建議，以及哪些內容可推廣為通則
在修補方案尚未確認之際，The Hacker News 發布了一份針對 Mac 使用者的簡短預防措施清單，值得記錄下來，因為它精確勾勒出暴露面。退出或移除 Muse，即可完全關閉這條路徑。檢視 Muse 所持有的應用程式與權限，並撤銷任何它不需要的項目，如此一來，遭挾持的代理程式能繼承的權限就更少。若這台 Mac 可能已遭入侵，請將 Muse 帳號及與其連結的帳號視為已暴露，並變更那些密碼。避免使用 Muse 的語音輸入，因為這正是該概念驗證所等待的特定觸發條件。也不要執行網站或訊息要求你貼到 Terminal 的命令，因為 ClickFix 路徑正是由此開始。
這項可轉移的發現，比「AI 不安全」更狹窄，也比「修補你的應用程式」更精準。代理的實用性與其爆炸半徑是同一個數字：讓 Muse 能讀取檔案、傳送訊息的權限，正是攻擊者藉由操控它而繼承的權限，而它通過的每一項控制措施本身都沒有被攻破。macOS 守住了應用程式邊界，Meta 的雲端守住了隔離，權杖也不是從鑰匙圈裡被取走的。一個本應無作用的偏好設定竟成了關鍵支撐，而且它位於所有為保護其所指向資料而建立的防護層之外。Wardle 向《The Register》說明這項設計取捨的總結，才是比修補程式更長久的重點：「它們超級方便、超級賦能。但如果你把它們設定得足以發揮用途，它們就擁有太多存取權限。它們基本上可以在你的電腦上做任何事。」
