Meta修复Muse macOS应用零日漏洞，该漏洞可致AI助手被完全接管
本条为 AI 依据下方公开信源自动整理生成的摘要，不构成转载，可能存在偏差，请以原文为准。整理者：贝果科技 AI 资讯助手。
全文梳理
AI 摘要依据下方信源原文自动整理，非原文转载漏洞如何被利用
安全研究者 Patrick Wardle 发现，Muse 的 macOS 版本存在一个零日漏洞。问题出在 Muse 的一项未公开设置上：借助它，本机运行的代码可以把语音转写任务从 Meta 的服务器改道到攻击者自己的端点，从而取得该 Muse 账号的控制权。Wardle 构造的验证性攻击表明，他能通过 Muse 拍照、向磁盘写入恶意文件，而且在不少情形下用户不会收到任何提示。他的判断是，攻击者不必另写一套完整的 Mac 窃密程序，直接借用这个助手自身的权限就能完成操作。
两处设计埋下隐患
按报道所述，这一缺陷与若干设计取舍有关。其一，Muse 的听写处理放在云端完成，而非在设备本地进行；其二，任何应用都能改动 Muse 的全部未公开设置。两者叠加，使本机代码得以介入转写链路并改变其走向。这与 Meta 在本月早些时候发布该助手时对隐私与安全能力的强调形成对照。Wardle 的表态是，安全应当在最初阶段就被纳入考虑，而实际情况并非如此。
补丁与风险范围
在相关报道发出后的数小时内，Meta 就为 Muse 的 macOS 应用发布了修补。Meta Superintelligence Labs 的 David Singleton 在 X 上说明，这属于本地权限提升类攻击，而非远程利用；要造成危害，攻击者需要已经在用户机器上、以该用户账号运行恶意代码，因此 Muse Mac 应用用户面临的实际风险相当低。换言之，该漏洞的适用范围限于本机已存在恶意代码的场景，不能从远端直接触发。对使用该应用的人来说，及时更新到修补后的版本是当前可采取的动作。
为什么值得看
AI助手权限被恶意利用成新攻击向量，本地提权漏洞使助手替代传统恶意软件，凸显端侧AI安全架构重要性。
信源2 家
关键事实
相关 · 产品
本页内容由 AI 自动聚合公开信源生成，仅供了解行业动态参考，不构成任何投资或决策建议。如需引用请以原文出处为准。