Hoe een dicteerinstelling in Meta Muse een account in gevaar bracht

Een kleine instelling met mogelijk grote gevolgen: beveiligingsonderzoeker Patrick Wardle ontdekte dat een programma op een Mac kon bepalen waar Meta’s AI-assistent Muse ingesproken opdrachten naartoe stuurde. Zijn demonstratiecode, not-a-mused, liet zien hoe dicteerverkeer bij een server van een aanvaller kon belanden. Daarbij kon ook het token uitlekken waarmee Muse het account van de gebruiker verifieert. Het lek gaf een aanvaller niet op zichzelf toegang tot een Mac op afstand: er moest al code op die Mac draaien. 811

Van dicteren naar een accounttoken

De ongedocumenteerde instelling endo_voyager_dictation_endpoint bepaalde naar welke server Muse gedicteerde opdrachten stuurde voor transcriptie. Volgens Wardle kon een lokaal programma of Terminal-commando die instelling wijzigen zonder speciale macOS-rechten. Als de gebruiker daarna een opdracht dicteerde, kon het verkeer naar een server van de aanvaller gaan in plaats van naar Meta. Zo konden de gesproken gegevens en het authenticatietoken worden blootgesteld. De aanval vereiste dus zowel code die al op de Mac draaide als het gebruik van de dicteerfunctie; hij onderschepte niet automatisch ieder gesprek met Muse. 7828

Waarom dat meer is dan een gelekte spraakopdracht

Volgens berichtgeving over Wardles demonstratie vroeg een overgenomen Muse-sessie de locatie op van een gekoppelde iPhone in Barcelona en startte zij op dat toestel een Bluetooth Low Energy-scan. Dat zijn de concreet gemelde handelingen, geen bewijs dat alle mogelijke toegangsrechten van Muse zijn benut. Het bredere risico is dat iemand met het accounttoken via Muse mogelijk ook gebruik kan maken van toegang die de eigenaar de assistent al had gegeven tot accounts en apparaten. 91926

Daarom raakt dit niet alleen de inhoud van een ingesproken opdracht. Voor particuliere gebruikers én organisaties is ook de vraag welke bestanden, diensten en apparaten Muse na installatie kan bereiken: een lokaal proces met beperkte rechten kon via de assistent mogelijk veel verder komen. 8919

Meta’s oplossing en Amazons afzonderlijke blokkade

Wardle liet later weten dat Meta het lek had gedicht en bedankte het bedrijf voor de snelle oplossing. Volgens latere berichtgeving verwijderde Meta ook de interne instelling waarmee de bestemming voor dicteerverkeer kon worden gewijzigd. Wardle had gebruikers opgeroepen Muse niet te installeren; de beschikbare bronnen geven geen gedetailleerde onderbouwing van dat advies of een concrete voorspelling over toekomstige ontdekkingen. 281711

Amazon blokkeerde Muse daarnaast voor aankopen op zijn website, maar presenteerde die beslissing niet als reactie op dit lek. Amazon zei tegen Adweek dat Meta het winkelgedrag van Muse niet vooraf had gemeld en er geen toestemming voor had gekregen. Volgens andere berichtgeving had Amazon er ook bezwaar tegen dat de assistent zich bij het bezoeken van de site niet als zodanig kenbaar maakte. 2224