Falha zero-day no assistente Muse da Meta expõe riscos

Segundo a Ars Technica, o novo assistente de IA da Meta para macOS, chamado Muse, possui uma falha zero-day que compromete a segurança de todo o sistema. O pesquisador Patrick Wardle descobriu que qualquer aplicativo instalado localmente pode alterar configurações não documentadas da ferramenta, incluindo o endereço do servidor onde a transcrição de voz é processada.

Como a falha no Muse permite o sequestro de dados?

O design do Muse permite que processos sem privilégios especiais modifiquem configurações críticas do aplicativo. Um atacante pode redirecionar o endpoint de transcrição para um servidor próprio, interceptar o token de autenticação e assumir o controle total da conta do assistente.

Quais são as consequências práticas para quem usa?

Como o Muse exige amplas permissões no macOS e se conecta a e-mails, calendários e aplicativos de mensagens, a vulnerabilidade dispensa a criação de malwares tradicionais. O próprio assistente passa a agir como vetor para manipular arquivos e extrair dados confidenciais.

O impacto comercial foi imediato. Cerca de 12 horas antes da divulgação pública da falha, a Amazon começou a bloquear o acesso do Muse em sua plataforma, classificando o assistente como um agente não autorizado que infringe as condições de uso do site.