Falha no Meta Muse para macOS permite que malware local redirecione tráfego de voz

Uma vulnerabilidade no Muse, aplicativo de inteligência artificial da Meta para macOS, pode permitir que um processo malicioso executado localmente redirecione o tráfego de ditado do assistente para um servidor controlado pelo invasor. O problema foi demonstrado pelo pesquisador Patrick Wardle, fundador da Objective-See, por meio de um proof-of-concept chamado “not-a-mused”.

O problema ganha relevância porque o Muse pode receber permissões amplas para acessar informações e recursos do computador. Dessa forma, um malware com privilégios limitados poderia tentar aproveitar os acessos concedidos ao aplicativo de IA para alcançar dados ou capacidades que normalmente estariam protegidos pelos mecanismos de segurança do macOS.

Segundo Wardle, o Muse possui uma configuração não documentada chamada endo_voyager_dictation_endpoint. Um processo executado localmente consegue alterar esse parâmetro sem privilégios especiais e apontar o tráfego de ditado para um endpoint controlado pelo atacante.

Na prática, isso poderia expor áudio ditado pelo usuário e prompts enviados ao modelo de IA no backend. O pesquisador também aponta riscos de prompt injection, roubo de material de autenticação e abuso das permissões previamente concedidas ao Muse.

A vulnerabilidade, entretanto, não permite que um invasor ataque o Muse remotamente pela internet. Para explorá-la, código malicioso precisa já estar sendo executado na conta do usuário no Mac. Wardle descreveu o problema como uma forma de escalonamento local de privilégios, pois um malware com acesso limitado poderia potencialmente aproveitar os privilégios mais amplos do agente de IA.

A descoberta também chama atenção para uma característica dos agentes de IA instalados nos computadores. Para executar tarefas em nome do usuário, esses aplicativos podem solicitar acesso a arquivos, ferramentas, dados e outros recursos do sistema, concentrando permissões que tradicionalmente ficam separadas pelos mecanismos de segurança do sistema operacional.

No macOS, o framework Transparency, Consent, and Control (TCC) controla o acesso de aplicativos a recursos e informações sensíveis. Segundo Wardle, agentes de IA com permissões extensas podem criar novos caminhos para contornar parte dessa separação caso uma vulnerabilidade permita que outro processo abuse das capacidades do agente.

O pesquisador também apontou uma dificuldade adicional para ferramentas de Endpoint Detection and Response (EDR). Como os agentes executam ações legítimas em nome dos usuários, distinguir comandos originados pelo proprietário do computador daqueles executados pelo próprio agente ou induzidos por um atacante pode se tornar mais complexo.

Wardle observou ainda que a Apple oferece uma API para ditado processado localmente no dispositivo. Na avaliação do pesquisador, o uso dessa alternativa evitaria especificamente o problema de redirecionamento identificado no Muse. A afirmação sobre as razões pelas quais a Meta optou por outra arquitetura é uma interpretação de Wardle, não uma justificativa confirmada pela empresa.

Após a publicação inicial da descoberta, a Meta corrigiu a vulnerabilidade. David Singleton, da Meta Superintelligence Labs, afirmou que o problema correspondia a um ataque de escalonamento local de privilégios, e não a uma exploração remota, e que o risco prático para usuários do Muse no Mac era relativamente baixo porque código malicioso precisaria já estar em execução na máquina. A empresa disponibilizou um hotfix para solucionar a falha.