Il ricercatore Patrick Wardle ha scoperto una grave vulnerabilità nell’app Muse per macOS che permetteva di trasformare l’agente AI in una backdoor. Utilizzando un’impostazione non documentata da Meta, un cybercriminale potrebbe accedere all’account locale ed eseguire diverse azioni pericolose. In seguito alla segnalazione è stato rilasciato un fix che risolve il problema.
È sufficiente un comando vocale
In occasione dell’annuncio, il CEO Mark Zuckerberg aveva evidenziato la sicurezza di Muse. Meta ha descritto l’architettura implementata per evitare la divulgazione dei dati personali. Il ricercatore Patrick Wardle ha scoperto una vulnerabilità zero-day nell’app per macOS rilasciata il 18 settembre.
Muse permette di eseguire numerosi compiti (se autorizzati dall’utente), come creare documenti, generare immagini ed effettuare acquisti (non su Amazon). L’assistente può essere quindi connesso alle app installate sul Mac. Ciò significa che può ricevere il permesso per accedere a fotocamera, microfono, file, calendari, posizione e altro.
Meta ha creato una serie di impostazioni non documentate che consentono varie azioni. Molte non innocue, come quella che attiva la modalità scura. Una di esse è invece molto pericolosa. Con l’impostazione endo_voyager_dictation_endpoint è possibile cambiare l’indirizzo del server sul quale viene effettuata la trascrizione dei comandi vocali. Come evidenziato da Wardle, un cybercriminale potrebbe inserire l’indirizzo del proprio server e ricevere il prompt vocale (audio e trascrizione).
La vulnerabilità permette inoltre di effettuare un attacco di prompt injection e rubare i token di autenticazione. In quest’ultimo caso, il cybercriminale prenderà il controllo dell’account Muse e, sfruttando i permessi concessi dall’utente, potrà accedere a tutti i dati sul Mac, a tutte le app e a tutti i dispositivi connessi. Il codice sorgente del PoC (Proof-of-Concept) è disponibile su GitHub.
Secondo Wardle ci sono almeno due errori di design. Il primo è quello che permette l’accesso alle impostazioni non documentate. Il secondo (più grave) è l’elaborazione dei comandi vocali sul cloud. Sarebbe stato sufficiente effettuare l’elaborazione locale, visto che i Mac recenti offrono questa opzione.
Meta ha prontamente risolto il bug, eliminando la possibilità di modificare l’indirizzo del server. David Singleton dei Superintelligence Labs ha specificato che si tratta di un attacco locale, quindi il codice infetto dovrebbe essere già presente sul Mac.
Ti potrebbe interessare
22 set 2026