ثغرتان مختلفتان في Muse تثيران أسئلة عن أمان المساعدات الذكية

أفاد تقرير عن ثغرة في مساعد الذكاء الاصطناعي Muse من ميتا بأنها ربما كانت تتيح لمهاجم الوصول إلى بيئة سحابية مخصصة للمستخدم، قد تحتوي على رسائل بريد إلكتروني وملفات. وتضيف ميتا تحذيراً أوضح داخل التطبيق، لكن المعلومات المنشورة لا تشرح آلية استغلال الخلل ولا تحدد ما إذا كان على المستخدم تنفيذ خطوة معينة. 118

وهذه الثغرة منفصلة عن خلل سبق كشفه في تطبيق Muse لأجهزة Mac. فقد أوضح الباحث الأمني باتريك ووردل كيف يمكن لعملية تعمل بالفعل على جهاز Mac تغيير وجهة حركة الإملاء الصوتي في التطبيق، بما قد يتيح التقاط بيانات المصادقة. لا تصف التقارير الحالتين على أنهما استغلال واحد. 71013

ما الذي قد تكشفه الثغرة السحابية؟

بحسب ما نقلته رويترز عن تقرير لموقع «ذا إنفورميشن»، أبلغ باحث أمني خارجي ميتا بالثغرة عبر برنامج الشركة لمكافآت اكتشاف الثغرات. وكان من الممكن، وفق التقرير، أن تتيح الوصول إلى آلة افتراضية مخصصة للمستخدم؛ أي بيئة حوسبة سحابية خاصة به قد تضم بيانات مثل البريد الإلكتروني والملفات. 118

لكن التقارير المتاحة لا توضح كيف كان يمكن استغلال الخلل. ولا تثبت أن رابطاً خبيثاً كان وسيلة الهجوم، أو أن المستخدم كان سيحتاج إلى النقر أو الموافقة على إجراء ما، كما لا تؤكد انكشاف الاتصالات أو الجلسات النشطة. لذلك لا ينبغي استنتاج هذه التفاصيل من الخلل المنفصل الذي وُجد في تطبيق Mac.

وأفادت رويترز بأن ميتا تعمل على إضافة تحذير أمني أوضح داخل Muse. لكن التقرير لا يبيّن ما إذا كان هذا التحذير هو التغيير الوحيد، أو ما إذا كان الخلل الأساسي قد عولج، ولا يحدد عدد المستخدمين الذين ربما تأثروا. 1

كيف اختلف خلل تطبيق Mac؟

تعلّق اكتشاف ووردل بتطبيق Muse على نظام macOS، وكان يتطلب وجود برنامج أو عملية تعمل محلياً على جهاز المستخدم. وذكرت تقارير أن تطبيقاً محلياً لا يملك صلاحيات خاصة، أو أمراً يُنفّذ عبر الطرفية، كان يستطيع تغيير إعداد غير موثق يحدد وجهة حركة الإملاء الصوتي. وقد يؤدي ذلك إلى إرسال النصوص المُملاة إلى جهة أخرى بدلاً من خدمة ميتا، مع احتمال كشف بيانات المصادقة. 1013

لم يُوصف هذا بأنه هجوم يبدأ بمجرد إرسال رابط إلى الضحية؛ إذ كان لا بد من وجود عملية تعمل على جهاز Mac. كما ارتبط مسار الهجوم باستخدام ميزة الإملاء في Muse. ووفق التقارير، عالجت ميتا هذا الخلل في تطبيق Mac بإزالة الإعداد من النسخ المخصصة للاستخدام الفعلي. 710

لماذا تهم صلاحيات المساعد الواسعة؟

يمكن لـMuse الاتصال بخدمات مثل البريد الإلكتروني وتطبيقات المراسلة، وقد يحصل تطبيقه على Mac على صلاحيات للوصول إلى ملفات والميكروفون والكاميرا والموقع والتقويم. 911 وهذا الاتساع قد يجعل اختراق المساعد أكثر خطورة: فإذا تمكن مهاجم من السيطرة على المساعد أو بيانات المصادقة الخاصة به، فقد يحاول إساءة استخدام صلاحيات منحها المستخدم مسبقاً.

يوضح اكتشاف ووردل هذا النوع من المخاطر، لكنه لا يثبت طريقة استغلال الثغرة السحابية التي أُبلغ عنها لاحقاً ولا حجم أثرها. والخلاصة أن الخلل المحلي في Mac له آلية موصوفة، وأفادت التقارير بأنه عولج؛ أما تقرير الوصول إلى البيئة السحابية فيذكر أثراً محتملاً وتغييراً في التحذير، بينما تظل طريقة الاستغلال وتفاعل المستخدم والإصلاح الأساسي غير واضحة. 1718