Meta Muse 傳出資安漏洞，專屬虛擬機內的電郵與檔案恐有風險

外部資安研究員透過 Meta 的漏洞懸賞計畫，通報旗下 AI 代理 Muse 存在安全漏洞。根據報導，這項漏洞可能讓攻擊者存取使用者的專屬虛擬機；其中可能存有電郵與檔案等資料。不過，現有資訊描述的是潛在風險，並未證實有人成功存取或竊取使用者資料。111

漏洞可能涉及哪些資料？

Muse 會為每位使用者配置專屬虛擬機，也就是個別的雲端運算環境。根據《The Information》查閱的 Meta 內部事件報告，這項漏洞可能讓攻擊者進入該環境，接觸其中的資訊，包括電郵與檔案。12

目前公開報導並未充分說明漏洞的技術原理，因此無法判斷攻擊者須如何利用漏洞；報導也沒有證實漏洞曾遭利用，或有使用者資料因此外流。111

Meta 的回應與漏洞分級仍有出入

據報導，研究員通報漏洞後，Meta 正在 Muse 內加入更明確的安全警示。現有報導沒有交代具體採取了哪些技術修補措施。13

至於漏洞最初的嚴重程度，報導說法並不一致：一篇報導摘要稱其為高嚴重度的 SEV-2 事件，另一篇則描述最初被列為中高等級。路透社的報導摘要沒有提到分級，因此依目前資料，無法確定 Meta 最初如何評定這項漏洞。1424

Muse 能做什麼？早期下載表現如何？

Muse 是一款可代替使用者執行任務的 AI 代理，功能包括購物、預訂旅程、寄送電子郵件及付款。48 由於它會在使用者授權的服務與資料環境中運作，若漏洞可能讓外人接觸其專屬虛擬機，牽涉的便不只是代理能否完成任務，也包括個人資料的隱私風險。14

另有報導指出，Muse 上線後曾登上美國應用程式下載排行榜；但所引資料沒有提供下載量，因此無法據此列出具體數字。17