Meta创始人兼首席执行官Mark Zuckerberg大力宣传其新AI助手Muse的安全性，声称它“从底层开始就是为隐私和安全而构建的”。然而，一个零日漏洞允许本地运行的应用程序和终端命令完全控制该代理，这引发了严重质疑。更令人质疑的是，Amazon于周日开始在其网站上屏蔽Muse。

Meta在几周前推出了Muse。该助手“预约、填写表格并处理客户服务”，“主动为你分担任务”，并且可以“进行购买、生成图像、创建文档，并连接你喜爱的应用程序和服务”。这款mac OS应用（奇怪的是，没有Windows版本）还可以与用户的Whats App、电子邮件、日历和社交媒体账户配合使用。当某项任务需要不存在的工具时，Muse会即时创建一个。

该零日漏洞允许任何应用程序或终端命令获取用于验证用户Muse账户身份的令牌。Meta开发人员设计该助手时，使得任何本地安装的应用程序或执行的代码，无论其拥有何种mac OS权限，都可以更改一长串未记录的设置。其中一项设置允许进程更改转录发生的端点。攻击者可以通过将位置更改为自己的端点来利用此漏洞。一旦发生这种情况，攻击者就拥有了可完全控制Muse账户的令牌。

“我们可以操纵该代理并利用其权限为所欲为，”发现该零日漏洞的mac OS安全专家Patrick Wardle告诉Ars。“因此，我们不必编写一个非常全面的Mac恶意软件窃取程序，只需利用AI助手本身即可。”Wardle表示，他已经开发了多个概念验证攻击，可以执行诸如将恶意文件写入磁盘和拍照等操作，在许多情况下甚至不会向警惕的用户发出任何提示。Meta代表没有回复电子邮件提问。

关键实体：公司：Meta、Amazon、Apple、Anthropic、Google | 人物：Mark Zuckerberg、Patrick Wardle

FAQ：什么是Muse零日漏洞？

它允许任何本地安装的应用程序或终端命令获取用于验证用户Muse账户身份的令牌，从而使攻击者获得完全控制权。

FAQ问题：什么是Muse零日漏洞？

FAQ答案：它允许任何本地安装的应用程序或终端命令获取用于验证用户Muse账户身份的令牌，从而使攻击者获得完全控制权。