Twee beveiligingsproblemen bij Meta Muse, maar niet hetzelfde lek

Een gemelde kwetsbaarheid in Meta’s AI-agent Muse had een aanvaller toegang kunnen geven tot de persoonlijke cloudomgeving van een gebruiker, waar onder meer e-mails en bestanden kunnen staan. Meta maakt de veiligheidswaarschuwing in de app duidelijker, maar uit de openbare berichtgeving blijkt niet hoe het lek precies kon worden misbruikt of wat een gebruiker daarvoor eventueel moest doen. 118

Dit is een ander probleem dan een eerder bekendgemaakte kwetsbaarheid in de Mac-app van Muse. Beveiligingsonderzoeker Patrick Wardle liet zien dat een proces dat al op een Mac draaide het dicteerverkeer van de app kon omleiden en mogelijk authenticatiegegevens kon onderscheppen. Het gaat dus om twee afzonderlijke problemen, niet om één aanvalsmethode. 71013

Wat de recent gemelde kwetsbaarheid kon blootleggen

Volgens berichtgeving van Reuters, gebaseerd op een artikel van The Information, meldde een externe onderzoeker de kwetsbaarheid via Meta’s bugbountyprogramma. Het lek had toegang kunnen geven tot de persoonlijke virtuele machine van een gebruiker: een cloudomgeving die aan die gebruiker is gekoppeld en gegevens zoals e-mails en bestanden kan bevatten. 118

De beschikbare berichtgeving legt niet uit hoe een aanvaller het lek had kunnen uitbuiten. Er is bijvoorbeeld niet vastgesteld dat een schadelijke link de ingang was, of een gebruiker ergens op moest klikken of toestemming moest geven, en evenmin of berichten of actieve sessies gevaar liepen. Die details mogen niet worden afgeleid uit het afzonderlijke onderzoek naar de Mac-app.

Reuters meldde dat Meta een duidelijkere veiligheidswaarschuwing in Muse toevoegt. De berichtgeving zegt niet of dit de enige maatregel is, of de onderliggende kwetsbaarheid inmiddels is verholpen, en hoeveel gebruikers mogelijk zijn getroffen. 1

Zo werkte het afzonderlijke lek in de Mac-app

Wardles bevinding betrof de macOS-app van Muse. Daarvoor moest er al code op de Mac van de gebruiker draaien. Volgens de berichtgeving kon een lokaal programma of terminalcommando zonder speciale rechten een niet-gedocumenteerde instelling van Muse aanpassen. Die instelling bepaalde waar het dicteerverkeer naartoe werd gestuurd. Door dat verkeer om te leiden, konden ingesproken opdrachten buiten Meta’s dienst terechtkomen en kon mogelijk authenticatiemateriaal worden buitgemaakt. 1013

Dit werd niet beschreven als een aanval die alleen begint doordat iemand een link naar het slachtoffer stuurt: er moest al een lokaal proces op de Mac actief zijn. De beschreven aanval maakte bovendien gebruik van de dicteerfunctie van Muse. Volgens de berichtgeving heeft Meta dit Mac-lek verholpen door de betreffende instelling uit productieversies te verwijderen. 710

Waarom ruime toegang van AI-agenten extra risico geeft

Muse kan verbinding maken met diensten zoals e-mail en berichtenapps. De Mac-app kan daarnaast toegang krijgen tot bestanden, microfoon, camera, locatie en agenda. 911 Daardoor kan een aanval op een AI-agent grotere gevolgen hebben: wie de agent of de bijbehorende inloggegevens in handen krijgt, kan mogelijk misbruikmaken van toegang die de gebruiker eerder heeft verleend. Wardles demonstratie met de lokale Mac-app laat dat risico zien, maar bewijst niet hoe de afzonderlijk gemelde cloudkwetsbaarheid werkte of wat daarvan de impact was. 710

De belangrijkste kanttekening: maak onderscheid tussen wat is aangetoond en wat nog onbekend is. Voor het lokale Mac-probleem is een concrete werkwijze beschreven en het lek zou zijn verholpen. Bij de recent gemelde kwetsbaarheid in de cloudomgeving zijn de mogelijke gevolgen en Meta’s aanpassing van de waarschuwing bekend, maar blijven de aanvalsmethode, eventuele gebruikersinteractie en de status van de oplossing onduidelijk. 1718