Ranjivost u asistentu Muse: Visoke privilegije AI agenata otvaraju vrata za napade na macOS

Kompanija Meta lansirala je Muse, novog AI asistenta za macOS koji poseduje duboke sistemske privilegije, pristup audio unosima i kontrolu nad lokalnim aplikacijama. Bezbednosni istraživač Patrick Wardle otkrio je ozbiljnu nulti-dan (0-day) ranjivost unutar ove aplikacije. Propust omogućava zlonamernim procesima da presretnu komunikaciju asistenta i preuzmu kontrolu nad ovlašćenjima koja korisnik dodeljuje sistemu.

Kako funkcioniše bezbednosni propust?

Iako je očekivano da se audio komande obrađuju na samom uređaju radi privatnosti, Muse preusmerava glasovne zahteve korisnika ka serverima u oblaku. Problem nastaje u načinu na koji aplikacija upravlja ovom vezom unutar operativnog sistema macOS.

Komunikacija ka oblaku odvija se preko lokalnog mrežnog endpointa koji nije adekvatno zaštićen. Bilo koji neautorizovani proces koji se već izvršava na računaru može pristupiti ovom kanalu bez posebnih dozvola.

• Presretanje audio toka: zlonamerni softver može tajno snimati glasovne komande i diktate korisnika.
• Krađa autentifikacionog tokena: neovlašćeni proces može izvući sigurnosne tokene potrebne za komunikaciju sa servisima kompanije Meta.
• Ubrizgavanje instrukcija (prompt injection): napadač može ubaciti lažne komande direktno u tok podataka koji agent izvršava.

Paradoks autonomnih agenata

Slučaj asistenta Muse ističe osnovni paradoks savremenih AI agenata. Da bi ovakav asistent bio zaista koristan u svakodnevnom radu, on zahteva pristup datotekama, mikrofonu, elektronskoj pošti i kontroli nad drugim programima na računaru.

Međutim, kada agent sa tolikim nivoom ovlašćenja sadrži propust u arhitekturi, on se pretvara u idealnog trojanskog konja. Napadač ne mora da traži složene načine za zaobilaženje bezbednosnih mehanizama u macOS sistemu. Dovoljno je da kompromituje asistenta i iskoristi legitimne dozvole koje je korisnik već odobrio aplikaciji Muse.

Širi kontekst

Bezbednost AI agenata sve češće zavisi od tradicionalnih inženjerskih praksi, a ne samo od bezbednosti samog modela. Nezaštićeni lokalni servisi i nekontrolisana komunikacija sa oblakom poništavaju prednosti lokalne obrade podataka.

Dok propust ne bude u potpunosti zatvoren zvaničnim ažuriranjem, integracija visoko privilegovanih asistenata direktno u operativni sistem ostaje značajan bezbednosni rizik za krajnje korisnike.