Meta Muse AI asistanında kritik bir sıfır gün açığı tespit edildi

AI asistanı Meta Muse mimarisinde, yerel uygulamaların asistanın kontrolünü ele geçirmesine olanak tanıyan kritik bir sıfır gün açığı tespit edildi. Sorun, sistemin giren verileri işlediği transkript uç noktasının değiştirilmesine olanak tanıyor.

Bu açığın sömürülmesi, saldırganlara Meta'nın iddia ettiği güvenlik protokollerine rağmen kullanıcı hesabına tam erişim sağlıyor. Saldırı, asistanın sistem API'leriyle etkileşimini yapılandırmasını manipüle ederek gerçekleştiriliyor ve bu da konuşma veya metin işleme akışına kötü amaçlı komutlar enjekte etmeyi mümkün kılıyor.

Araştırmacılar, Muse'un kullanıcı verilerine özel erişim sağlayan mimari özelliğinin, bir ihlalin sonuçlarını kritik hale getirdiğini belirtiyorlar. Standart sohbet botlarının aksine, asistan sahibinin adına eylemler gerçekleştirebiliyor ve bu da açığı kişisel bilgilerin çalınması ve hesaba yetkisiz erişim için bir vektör haline getiriyor.

Teknik analiz ve saldırı vektörü tartışması, Hacker News topluluğunda bulunabilir. Şu anda şirket, uç nokta değiştirilmesini önleyen resmi bir yama sağlamadı, bu da kullanıcıları verilerine yetkisiz erişim tehdidi altında bırakıyor.

Olay, işletim sistemlerine yüksek ayrıcalıklı AI ajentlerinin entegrasyonuyla ilgili riskleri vurguluyor. Yerel işlemler ve asistan arayüzü arasında katı bir izolasyon olmaması, temel modelde bulunan kimlik doğrulama mekanizmalarının atlanmasına olanak tanıyor.