Meta zaprezentowała Muse jako asystenta z szerokim dostępem do kont i systemu macOS. Kilka tygodni później ujawniono lukę zero-day, która umożliwia przejęcie pełnej kontroli nad agentem przez dowolną aplikację lokalną.
Wprowadzenie Muse i jego uprawnienia
Meta wprowadziła Muse jako narzędzie do rezerwacji terminów, wypełniania formularzy i obsługi klienta. Asystent działa w systemie macOS i integruje się z WhatsApp, pocztą, kalendarzem oraz mediami społecznościowymi. Meta nie wydała wersji na system Windows. Agent tworzy własne narzędzia, gdy napotka zadanie wymagające nowego rozwiązania. Użytkownik musi przyznać mu szeroki dostęp do kont i zasobów systemowych, co obejmuje odczyt i zapis plików, mikrofon, kamerę oraz lokalizację.
Apple od lat rozwija mechanizmy ochronne ograniczające aplikacjom dostęp do tych zasobów. Muse omija te zabezpieczenia, działając z uprawnieniami wykraczającymi poza standardowe ramy. Decyzja o przetwarzaniu dyktowania w chmurze zamiast lokalnie zwiększa ryzyko wycieku danych. Meta opublikowała dwa wpisy na temat bezpieczeństwa, lecz nie odniosła się do konkretnych pytań dotyczących szczegółów wdrożenia.
Odkrycie luki zero-day
Badacz Patrick Wardle zgłosił lukę, która pozwala dowolnej aplikacji lub poleceniu terminala zmienić punkt końcowy (endpoint) transkrypcji. Atakujący może przechwycić token autoryzacji. Po zmianie adresu na własny serwer uzyskuje pełną kontrolę nad kontem Muse. Wardle przygotował dowód koncepcji (proof-of-concept), który zapisuje złośliwe pliki i wykonuje zdjęcia bez wyświetlania ostrzeżeń użytkownikowi.
Meta zaprojektowała ustawienia w taki sposób, aby każda lokalna aplikacja mogła je modyfikować. Jedno z nich dotyczy miejsca przetwarzania mowy, co otwiera drogę do ataku. Wybór przetwarzania w chmurze zamiast na urządzeniu umożliwił wykorzystanie luki. Wardle ocenił, że twórcy nie uwzględnili kwestii bezpieczeństwa na wczesnym etapie prac nad projektem.
Reakcja Amazon i innych firm
Amazon zaczął blokować Muse na swojej stronie zakupowej około dwunastu godzin przed publicznym ujawnieniem luki. Użytkownicy otrzymywali komunikat o nieautoryzowanym agencie AI naruszającym warunki użytkowania. Amazon uznał Muse za zagrożenie. Decyzja ta pokazuje, że operatorzy platform e-commerce monitorują zachowanie agentów AI i szybko reagują na potencjalne ryzyka.
Podobne incydenty dotyczyły agentów OpenAI na platformie RubyGems oraz modelu Gemini od Google, który posłużył do ataków na trzy firmy. Google potwierdziło incydent z Gemini. Przypadki te wskazują na szerszy problem z niekontrolowanym działaniem agentów AI w środowiskach zewnętrznych.
Kontekst problemów z agentami AI
W ostatnich miesiącach ujawniono incydenty z agentami OpenAI, które wykazywały aktywność na platformach takich jak Hugging Face. OpenAI potwierdziło przypadki na RubyGems. Meta publikowała materiały o bezpieczeństwie Muse równolegle z doniesieniami o niekontrolowanych działaniach modeli Anthropic i Google.
Firmy testujące agentów AI napotykają przypadki nieintencjonalnego naruszania zewnętrznych sieci. W tradycyjnych działaniach hakerskich takie operacje mogłyby skutkować odpowiedzialnością karną. Meta podkreśla wagę prywatności i bezpieczeństwa, lecz decyzje projektowe podważają te deklaracje. Brak odpowiedzi na pytania dziennikarzy pogłębia wątpliwości rynkowe.
Implikacje dla regulacji i odpowiedzialności
Luka w Muse rodzi pytania o zgodność z wymaganiami aktu o sztucznej inteligencji (AI Act) dotyczącymi systemów autonomicznych wysokiego ryzyka. Agent z tak szerokimi uprawnieniami może podejmować działania, za które trudno będzie przypisać odpowiedzialność. Meta nie wdrożyła lokalnego przetwarzania mowy, co narusza zasadę minimalizacji danych i zwiększa powierzchnię ataku.
Firmy wdrażające podobne rozwiązania muszą liczyć się z ryzykiem wycieku danych osobowych oraz naruszenia RODO. Eksperci wskazują, że poziom zabezpieczeń agentów AI powinien być znacznie wyższy niż w przypadku standardowych aplikacji. Dotychczasowe testy Meta nie wykryły problemu, co sugeruje niedostateczne audyty bezpieczeństwa przed udostępnieniem narzędzia.
Znaczenie dla rynku i dalszy rozwój
Incydent z Muse pokazuje, że agenci AI z wysokimi uprawnieniami pozostają podatni na proste ataki typu ClickFix. Amazon i inni operatorzy platform mogą wprowadzać dalsze ograniczenia dla takich narzędzi. Wardle ocenił zabezpieczenia Muse jako niewystarczające. Rynek może zareagować większą ostrożnością przy przyznawaniu agentom dostępu do systemów operacyjnych i kont użytkowników.
Otwarte pozostają pytania o to, czy Meta naprawi lukę i czy zmieni architekturę przetwarzania danych. Inne firmy pracujące nad agentami AI, w tym OpenAI i Anthropic, monitorują podobne ryzyka. Rozwój technologii agentowej będzie wymagał wdrożenia surowszych standardów bezpieczeństwa przed jej wprowadzeniem do powszechnego użytku komercyjnego.
Źródła:
Ars Technica, Meta AI research blog, Meta help center, X Patrick Wardle, X Mark Zuckerberg
