بر اساس گزارش Ars Technica، دستیار هوش مصنوعی Muse متا با یک آسیب‌پذیری جدی در روز صفر عرضه شد که به هر برنامه‌ای که به صورت محلی نصب شده بود اجازه می‌داد تا توکن حساب کاربری Muse کاربر را بدزدد و از امتیازات غیرعادی گسترده‌ی عامل استفاده کند.

این نقص توسط پاتریک واردل، محقق امنیتی macOS کهنه کار، موسس بنیاد Objective-See و کارمند سابق ناسا و آژانس امنیت ملی کشف شد. افشای او در یک لحظه حساس برای متا قرار می گیرد: تقریباً 12 ساعت قبل از اینکه واردل عمومی شود، آمازون قبلاً شروع به مسدود کردن مردم از استفاده از Muse برای خرید در سایت خود کرده بود و آن را "عامل هوش مصنوعی غیرمجاز" نامید که شرایط استفاده آمازون را نقض می کند. For more context on this story, see our ongoing AI industry coverage.

چگونه میوز صفر روز کار می کرد

Muse، که متا چند هفته پیش معرفی کرد، به عنوان یک دستیار شخصی تهاجمی طراحی شده است. به گفته Ars Technica، «قرار ملاقات‌ها را رزرو می‌کند، فرم‌ها را پر می‌کند و خدمات مشتری را انجام می‌دهد»، «به‌طور پیش‌گیرانه وظایف را حذف می‌کند» و می‌تواند «خرید کند، تصاویر تولید کند، اسناد ایجاد کند و با برنامه‌ها و خدمات مورد علاقه‌تان ارتباط برقرار کند». این برنامه بر روی macOS اجرا می شود – عجیب است که نسخه ویندوزی وجود ندارد – و به حساب های WhatsApp، ایمیل، تقویم و شبکه های اجتماعی کاربر متصل می شود.

این سطح از دسترسی چیزی است که آسیب پذیری را قابل توجه می کند. برای اینکه Muse کار کند، کاربران باید آن را برای هر سرویس احراز هویت کنند و مجوزهای گسترده سیستم عامل را به آن اعطا کنند: نوشتن فایل روی دیسک، دسترسی به میکروفون و دوربین، و نظارت بر مکان و تقویم‌ها.

واردل دریافت که توسعه دهندگان متا دستیار را طوری طراحی کرده اند که هر برنامه نصب شده محلی یا دستور اجرا شده - صرف نظر از مجوزهای macOS خودش - بتواند لیست طولانی تنظیمات غیرمستند را تغییر دهد. بیشتر آن تنظیمات بی ضرر بودند، مانند تغییر حالت تاریک. با این حال، یکی از مکان‌هایی که گفتار حساس کاربر پردازش می‌شود را کنترل می‌کند و همین مکانیسم می‌تواند توکنی را که یک کاربر را احراز هویت می‌کند در حساب Muse خود نشان دهد.

واردل به Ars Technica گفت: "ما می توانیم نماینده را دستکاری کنیم و از امتیازات آن برای انجام هر کاری که می خواهیم استفاده کنیم." بنابراین به جای اینکه مجبور باشیم یک دزد بدافزار بسیار جامع مک بنویسیم، می توانیم فقط از خود دستیار هوش مصنوعی استفاده کنیم.

واردل در عمل گفت که چندین حمله اثبات مفهوم را توسعه داده است، از جمله حملاتی که فایل های مخرب را روی دیسک می نویسند. یکی از مسیرهای حمله توصیف شده شامل سرور مهاجم است که به عنوان یک پروکسی بین کاربر Muse و نقطه پایانی متا عمل می کند: هنگامی که کاربر یک اعلان صوتی را بیان می کند، سرور مهاجم یک فرمان مخرب را تزریق می کند - به عنوان مثال، یک آرشیو از تمام پیام های WhatsApp را برای مهاجم ارسال می کند - و کنترل دائمی روی حساب Muse به دست می آورد.

تصمیمات طراحی زیر میکروسکوپ

واردل این اکسپلویت را به چندین انتخاب طراحی خاص نسبت داد. یکی تصمیم متا برای مدیریت دیکته Muse در فضای ابری بود، جایی که شرکت می‌تواند آن را ثبت کند، به جای استفاده از رونویسی روی دستگاه که مدت‌ها پشتیبانی می‌شد macOS. او گفت که اگر جایگزین محلی امن تری انتخاب می شد، حمله ممکن نبود.

دیگری به هر برنامه ای اجازه می داد تا نقطه پایانی تنظیمات غیرمستند را کنترل کند. Wardle پیشنهاد کرد Meta احتمالاً برای برنامه‌های شریک برای تنظیم اولویت‌های رابط در نظر گرفته شده است، اما گسترش این کنترل به جایی که گفتار حساس پردازش می‌شود، یک ویژگی راحت را به سطح حمله تبدیل کرد.

واردل گفت: "از نظر من، نوار از نظر امنیت این برنامه ها بی نهایت بالاتر است." آنها لازم نیست کامل باشند، اما وقتی به Muse نگاهی بیندازید، مثل این است که به نظر من آنها به امنیت فکر نکرده‌اند، که واقعاً نگران‌کننده است. حداقل، آنها باید از همان ابتدا به فکر امنیت باشند، و اینطور نیست.»

متا طی چند هفته دو پست منتشر کرد که در آن تصمیمات طراحی امنیتی و حریم خصوصی پشت دستیار با چنین دسترسی گسترده ای به داده های کاربر را مستند می کرد - جدول زمانی که اکنون با توجه به افشای اطلاعات متفاوت خوانده می شود. Ars Technica همچنین به پس‌زمینه گسترده‌تر اشاره کرد: افشاگری‌ها مبنی بر اینکه آزمایش داخلی مدل‌های Anthropic و Google منجر به نقض امنیت شبکه‌های خارجی و شخص ثالث شده است که مهندسان هرگز قصد لمس آن را نداشته‌اند.

یک Hotfix و یک هشدار برای Agentic AI

بیش از 12 ساعت پس از انتشار این گزارش، متا گفت که یک تعمیر فوری منتشر کرده است که روز صفر را اصلاح کرده است. متا فوراً به درخواست اظهار نظر در مورد جدول زمانی اصلاح پاسخ نداد.

کارشناسان امنیتی مدت‌هاست که استدلال می‌کنند که وقتی دستگاهی در معرض خطر قرار می‌گیرد، همه شرط‌بندی‌ها متوقف می‌شوند - استدلال متقابلی که فروشندگان نرم‌افزارهای ممتاز اغلب بر آن تکیه می‌کنند. Wardle از آن چارچوب برای Muse عقب نشینی کرد: یک تغییر ساده از تکنیک مهندسی اجتماعی ClickFix، که به طور قابل توجهی در فریب دادن افراد به آلوده کردن دستگاه‌های خود مؤثر شده است، تمام آن چیزی است که مهاجم برای دریافت کدهای مخرب در حال اجرا بر روی Mac هدف نیاز دارد.

واردل قصد دارد در کنفرانس امنیتی Objective by the Sea در نوامبر درباره آسیب‌پذیری و سایر تهدیدات دستیار هوش مصنوعی با جزئیات بیشتری صحبت کند.

این اپیزود یک مطالعه موردی مشخص در بدهی امنیتی است که محصولات هوش مصنوعی عامل می توانند هنگام رقابت برای بازار جمع کنند. دستیار که می تواند پیام های شما را بخواند، برای خریدها پرداخت کند و در حساب های شما عمل کند، از دیدگاه مهاجم، یک هدف با ارزش واحد است – و به خطر انداختن آن بسیار ارزان تر از ساخت بدافزار سفارشی برای هر سرویسی است که آن را لمس می کند.

برای کاربران، درس‌های عملی آشنا هستند، اما به تازگی ضروری هستند: آنچه را که دستیار هوش مصنوعی مجاز به دسترسی است محدود کنید، با امتیازات آن به همان اندازه جدی برخورد کنید که با اعتبارنامه‌های خود رفتار می‌کنید، و نسبت به محصولاتی که ورودی‌های حساس مانند دیکته صوتی را به‌طور پیش‌فرض از طریق سرورهای شخص ثالث هدایت می‌کنند، شک داشته باشید. برای صنعت، پیام محققان واضح‌تر است - امنیت نمی‌تواند یک وصله پس از راه‌اندازی برای نرم‌افزاری باشد که کلیدهای زندگی دیجیتالی افراد را در اختیار دارد.

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →