Der Muse-KI-Assistent von Meta wurde mit einer schwerwiegenden Zero-Day-Schwachstelle ausgeliefert, die es jeder lokal installierten Anwendung ermöglichte, das Muse-Konto-Token eines Benutzers zu stehlen und die ungewöhnlich weitreichenden Privilegien des Agenten zu einer Waffe zu machen, wie aus einem Bericht von Ars Technica hervorgeht.

Der Fehler wurde von Patrick Wardle entdeckt, einem erfahrenen macOS-Sicherheitsforscher, Gründer der Objective-See Foundation und ehemaligen Mitarbeiter der NASA und der National Security Agency. Seine Enthüllung kommt zu einem heiklen Zeitpunkt für Meta: Ungefähr zwölf Stunden bevor Wardle an die Börse ging, hatte Amazon bereits damit begonnen, Menschen daran zu hindern, Muse zum Einkaufen auf seiner Website zu nutzen, und es als „unautorisierten KI-Agenten“ bezeichnet, der gegen die Nutzungsbedingungen von Amazon verstößt. Weitere Informationen zu dieser Geschichte finden Sie in unserer KI-Branchenberichterstattung.

Wie die Muse Zero-Day funktionierte

Muse, das Meta vor einigen Wochen vorgestellt hat, ist als aggressiver persönlicher Assistent konzipiert. Laut Ars Technica „bucht es Termine, füllt Formulare aus und kümmert sich um den Kundenservice“, „nimmt Ihnen proaktiv Aufgaben ab“ und kann „Einkäufe tätigen, Bilder generieren, Dokumente erstellen und sich mit Ihren bevorzugten Apps und Diensten verbinden“. Die App läuft auf macOS – seltsamerweise gibt es keine Windows-Version – und stellt eine Verbindung zu den WhatsApp-, E-Mail-, Kalender- und Social-Media-Konten eines Benutzers her.

Diese Zugriffsebene macht die Schwachstelle bedeutsam. Damit Muse funktioniert, müssen Benutzer es bei jedem Dienst authentifizieren und ihm umfassende Betriebssystemberechtigungen erteilen: Dateien auf die Festplatte schreiben, auf Mikrofon und Kamera zugreifen sowie Standort und Kalender überwachen.

Wardle stellte fest, dass die Entwickler von Meta den Assistenten so konzipiert hatten, dass jede lokal installierte App oder jeder ausgeführte Befehl – ​​unabhängig von seinen eigenen macOS-Berechtigungen – eine lange Liste undokumentierter Einstellungen ändern konnte. Die meisten dieser Einstellungen waren harmlos, wie zum Beispiel das Umschalten in den Dunkelmodus. Einer kontrollierte jedoch, wo vertrauliche Benutzerreden verarbeitet werden, und derselbe Mechanismus könnte das Token offenlegen, das einen Benutzer gegenüber seinem Muse-Konto authentifiziert.

„Wir können den Agenten manipulieren und seine Privilegien nutzen, um zu tun, was wir wollen“, sagte Wardle gegenüber Ars Technica. „Anstatt also einen sehr umfassenden Mac-Malware-Stealer schreiben zu müssen, können wir einfach den KI-Assistenten selbst nutzen.“

In der Praxis habe er laut Wardle mehrere Proof-of-Concept-Angriffe entwickelt, darunter solche, bei denen schädliche Dateien auf die Festplatte geschrieben werden. Ein beschriebener Angriffspfad besteht darin, dass der Server eines Angreifers als Proxy zwischen dem Muse-Benutzer und dem Endpunkt von Meta fungiert: Sobald der Benutzer eine Sprachansage spricht, injiziert der Server des Angreifers einen böswilligen Befehl – ​​zum Beispiel das Senden eines Archivs aller WhatsApp-Nachrichten an den Angreifer – und erlangt dauerhafte Kontrolle über das Muse-Konto.

Designentscheidungen unter der Lupe

Wardle führte den Exploit auf mehrere spezifische Designentscheidungen zurück. Eine davon war die Entscheidung von Meta, das Diktat von Muse in der Cloud abzuwickeln, wo das Unternehmen es protokollieren kann, anstatt die seit langem unterstützte Transkription auf dem Gerät von macOS zu verwenden. Wäre die sicherere Alternative vor Ort gewählt worden, wäre der Angriff nicht möglich gewesen, sagte er.

Eine andere Möglichkeit bestand darin, jeder App die Steuerung des Endpunkts für undokumentierte Einstellungen zu erlauben. Wardle vermutete, dass Meta wahrscheinlich dafür gedacht war, dass Partner-Apps die Benutzeroberflächenpräferenzen anpassen, aber die Ausweitung dieser Kontrolle auf den Ort, an dem sensible Sprache verarbeitet wird, verwandelte eine Komfortfunktion in eine Angriffsfläche.

„Für mich liegt die Messlatte in Bezug auf die Sicherheit dieser Apps unendlich höher“, sagte Wardle. „Sie müssen nicht perfekt sein, aber wenn man sich Muse ansieht, kommt es mir vor, als hätten sie meiner Meinung nach nicht an Sicherheit gedacht, was wirklich besorgniserregend ist. Zumindest sollten sie von Anfang an an Sicherheit denken, und das tun sie einfach nicht.“

Meta hat innerhalb weniger Wochen zwei Beiträge veröffentlicht, in denen die Sicherheits- und Datenschutzdesignentscheidungen hinter einem Assistenten mit so umfassendem Zugriff auf Benutzerdaten dokumentiert werden – ein Zeitplan, der angesichts der Offenlegung nun anders lautet. Ars Technica wies auch auf den breiteren Hintergrund hin: Enthüllungen, dass interne Tests von Modellen von Anthropic und Google zu Sicherheitsverletzungen in externen Netzwerken Dritter führten, die die Ingenieure nie zu berühren beabsichtigten.

Ein Hotfix und eine Warnung für Agentic AI

Mehr als 12 Stunden nachdem der Bericht online ging, gab Meta bekannt, dass es einen Hotfix veröffentlicht habe, der den Zero-Day gepatcht habe. Meta reagierte nicht sofort auf eine Anfrage nach einem Kommentar zum Zeitplan des Fixes.

Sicherheitsexperten argumentieren seit langem, dass alle Wetten hinfällig sind, sobald ein Gerät kompromittiert ist – ein Gegenargument, auf das sich Anbieter privilegierter Software häufig stützen. Wardle lehnte diese Formulierung für Muse ab: Eine einfache Variante der ClickFix-Social-Engineering-Technik, die sich als äußerst effektiv erwiesen hat, um Menschen dazu zu verleiten, ihre eigenen Geräte zu infizieren, ist alles, was ein Angreifer braucht, um bösartigen Code auf dem Mac eines Ziels auszuführen.

Wardle plant, die Sicherheitslücke und andere Bedrohungen durch KI-Assistenten auf der Sicherheitskonferenz Objective by the Sea im November ausführlicher zu besprechen.

Die Episode ist eine pointierte Fallstudie über die Sicherheitsschulden, die Agenten-KI-Produkte ansammeln können, wenn sie auf den Markt kommen. Ein Assistent, der Ihre Nachrichten lesen, Einkäufe bezahlen und über Ihre Konten hinweg agieren kann, ist aus der Sicht eines Angreifers ein einzelnes, hochwertiges Ziel – und es zu kompromittieren ist weitaus kostengünstiger, als für jeden Dienst, den er berührt, maßgeschneiderte Malware zu entwickeln.

Für Benutzer sind die praktischen Lektionen vertraut, aber neu dringlich: Begrenzen Sie, worauf ein KI-Assistent zugreifen darf, nehmen Sie seine Privilegien genauso ernst wie Ihre eigenen Anmeldeinformationen und seien Sie skeptisch gegenüber Produkten, die vertrauliche Eingaben wie Sprachdiktaten standardmäßig über Server von Drittanbietern weiterleiten. Für die Branche ist die Botschaft der Forscher deutlicher: Sicherheit kann kein Post-Launch-Patch für Software sein, der den Schlüssel zum digitalen Leben eines Menschen enthält.

---

Bleib vorne bei KI

Die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.

Mehr KI-Nachrichten lesen →