Meta vá lỗi zero-day trên Muse macOS sau khi lỗ hổng cho phép chiếm quyền AI agent

Tóm tắt nhanh

• Meta phát hành bản vá cho ứng dụng Muse trên macOS sau khi phát hiện một lỗ hổng zero-day có thể cho kẻ tấn công chiếm quyền điều khiển AI agent.
• Nhà nghiên cứu Patrick Wardle phát hiện lỗi dựa trên một cài đặt không được công bố của Muse, cho phép chuyển xử lý phiên âm từ máy chủ của Meta sang endpoint của kẻ tấn công.
• Lỗ hổng cho phép lấy token xác thực Muse, từ đó kẻ tấn công có thể truy cập và điều khiển toàn bộ tài khoản Muse.
• Wardle đã phát triển các proof-of-concept thực hiện việc ghi file độc hại và chụp hình mà người dùng có thể không biết.
• Các quyết định thiết kế góp phần làm lộ lỗi gồm: Muse thực hiện dictation trên đám mây thay vì on-device, và cho phép bất kỳ app nào thay đổi toàn bộ các cài đặt không công bố của Muse.
• Meta xác nhận đã phát hành bản hotfix hơn 12 giờ sau khi vấn đề được công bố và thông báo điều này trên các bài đăng chính thức.
• WIRED và Ars Technica nêu chi tiết rằng lỗi khiến bất kỳ tiến trình cục bộ nào cũng có thể thay đổi endpoint phiên âm; Meta trước đó cho rằng bản vá yêu cầu có malware trên máy người dùng, trong khi Wardle nói có thể bị khai thác từ xa.
• Muse được tải về hơn nửa triệu lần trong tuần đầu ra mắt theo dữ liệu nội bộ, và đang được Meta thử nghiệm tích hợp sâu hơn như thay thế Meta AI trên kính thông minh.
• Android Authority cho biết Meta đang thử nghiệm đặt Muse làm trợ lý mặc định cho kính thông minh, với các tích hợp như navigation, Shazam, Strava và Meta Pay.
• CNET nhắc người dùng macOS cập nhật ngay ứng dụng Muse để nhận bản vá bảo mật; Meta cũng công bố hai bài viết giải thích các quyết định thiết kế của Muse liên quan bảo mật và quyền riêng tư.

Tóm tắt tự động bằng AI từ 4 nguồn, có thể có sai sót. Hãy kiểm chứng ở bài gốc.