La faille zero-day de Muse ouvre la voie aux portes dérobées Mac

Le 26 septembre 2026, des informations de sécurité ont révélé une vulnérabilité zero-day dans Muse, l’assistant de Meta pour macOS, susceptible de transformer cet agent très privilégié en point d’entrée pour une porte dérobée sur Mac. La faille a été découverte par Patrick Wardle, chercheur spécialisé dans la sécurité de macOS. Elle ne permet pas, à elle seule, de compromettre à distance un Mac sain. L’attaquant doit d’abord parvenir à exécuter du code localement, via un logiciel malveillant, une application frauduleuse ou une manœuvre d’ingénierie sociale. Une fois cette première étape franchie, le défaut signalé pourrait toutefois lui donner le contrôle d’un compte Muse et des accès associés.

Muse n’est pas présenté comme un simple outil conversationnel. Meta indique que l’assistant peut prendre des rendez-vous, remplir des formulaires, gérer des échanges avec des services clients, effectuer des achats, créer des documents et se connecter notamment à WhatsApp, aux courriels, aux calendriers et aux plateformes sociales. Pour fonctionner ainsi, il peut recevoir l’authentification de plusieurs comptes et des autorisations macOS pour des ressources protégées, dont les fichiers, le microphone, la caméra, la localisation et les calendriers. C’est cette concentration d’accès qui rend le scénario décrit particulièrement sensible.

Un réglage non documenté détourné

D’après le récit d’Ars Technica sur les travaux de Patrick Wardle, toute application exécutée localement ou toute commande lancée dans le terminal pouvait modifier une longue liste de réglages non documentés de Muse, quelles que soient les autorisations détenues par cette application ou cette commande. Plusieurs de ces réglages concerneraient des fonctions anodines, comme l’apparence de l’interface. L’un d’eux contrôle en revanche l’adresse du serveur auquel est envoyée la dictée pour être transcrite. Normalement, cette adresse renvoie vers un serveur exploité par Meta. La vulnérabilité permettrait de la remplacer par un serveur contrôlé par un attaquant.

Ce détournement aurait deux effets liés. Le serveur interposé pourrait capter les requêtes vocales de la victime. Il pourrait aussi recevoir le jeton qui authentifie son compte Muse, selon les informations publiées. Patrick Wardle a déclaré qu’un tel jeton permettrait à un attaquant de manipuler l’agent et de tirer parti des autorisations et services déjà reliés à Muse. Ses démonstrations de faisabilité comprenaient l’écriture de fichiers malveillants sur le disque et la prise de photos, parfois sans indice visible pour un utilisateur pourtant vigilant. Il s’agit de démonstrations de recherche rapportées par la presse, et non de la preuve que tous les utilisateurs de Muse ont été visés.

Pas une intrusion distante autonome

Meta a indiqué que le problème n’était pas une exploitation à distance. La précision est importante : la faille décrite ne fournit pas, seule, un moyen d’exécuter du code sur un Mac qui ne serait pas déjà compromis. Un accès local préalable reste nécessaire. Malwarebytes cite comme voies possibles un programme malveillant, une application piégée ou l’ingénierie sociale. Cela ne réduit pas nécessairement le risque à un cas théorique. Patrick Wardle et Ars Technica évoquent les attaques de type ClickFix, qui incitent une victime, au moyen d’un site ou d’un message non sollicité, à exécuter elle-même une commande.

L’enjeu est donc une escalade de privilèges et la centralisation des accès. Un logiciel voleur classique doit généralement rechercher séparément les données de navigation, les identifiants, les documents, les historiques de discussions et d’autres informations utiles. Un agent compromis peut abaisser cette difficulté s’il réunit déjà des comptes authentifiés, des communications, des données en ligne et des autorisations du système. Cela ne signifie pas que Muse donne automatiquement accès à tous les fichiers ou à tous les comptes d’une personne. La portée dépend des connexions, des outils et des autorisations effectivement activés. Mais l’affaire montre qu’un agent doté d’une telle autonomie exige des protections plus strictes qu’une application classique.

• Éviter d’installer ou de conserver un agent auquel sont accordés des accès et des connexions de comptes inutiles.
• Examiner les liens vers la messagerie, les courriels, les calendriers, le stockage en ligne et les moyens de paiement, puis supprimer ceux qui ne sont pas nécessaires.
• Se méfier des pages web et messages non sollicités demandant de copier ou d’exécuter des commandes dans le terminal.
• Maintenir macOS et les outils de sécurité à jour, et surveiller les demandes d’autorisation, de réauthentification ou de partage de fichiers inattendues.

Un correctif annoncé après la publication

Ars Technica a rapporté que Meta avait diffusé un correctif urgent plus de douze heures après la mise en ligne de son article. Les éléments fournis ne détaillent ni les changements techniques apportés, ni les versions concernées, ni la manière dont le correctif est distribué aux utilisateurs. Ils ne permettent pas non plus de confirmer indépendamment son efficacité. Un correctif signalé ne permet donc pas, à lui seul, de conclure qu’un éventuel jeton déjà exposé n’a plus de conséquence. En cas de doute, la vérification des sessions actives et des services associés à un compte reste une précaution raisonnable.

Patrick Wardle a mis en cause deux choix de conception. D’une part, Muse s’appuierait sur une transcription de la dictée dans le cloud, alors que macOS propose un mécanisme de transcription sur l’appareil. D’autre part, n’importe quelle application locale pouvait modifier des réglages non documentés, y compris une adresse destinée au traitement d’une parole sensible. Meta avait affirmé que Muse avait été conçu dès l’origine pour la confidentialité et la sécurité. Les révélations soulèvent néanmoins des questions sur l’isolement de cette configuration sensible et sur les tests de sécurité appliqués à un outil disposant d’accès aussi étendus.

L’affaire intervient aussi au moment où les agents logiciels cherchent à prendre une place plus importante dans les achats en ligne. Selon Ars Technica, Amazon a commencé à bloquer Muse sur son site peu avant la divulgation de Patrick Wardle. Amazon a qualifié Muse d’agent IA non autorisé, en violation de ses conditions d’utilisation, et a demandé à Meta de retirer Amazon de l’expérience. Ce différend est distinct de la vulnérabilité, mais il rappelle que les assistants agissant au nom d’un utilisateur ont des effets sur les services avec lesquels ils interagissent, et pas seulement sur l’ordinateur de leur propriétaire.

Pour les utilisateurs de Mac en France, le constat immédiat n’est pas que tous les assistants IA sont dangereux ni qu’un logiciel local contourne sans limite toutes les protections de macOS. Il est qu’un outil pratique devient un point de contrôle précieux lorsqu’il réunit authentification, permissions système et capacité d’agir automatiquement. L’OWASP cite notamment l’injection de prompts, l’abus d’outils, l’escalade de privilèges, l’exfiltration de données, l’autonomie excessive, l’empoisonnement de mémoire et l’exposition de données sensibles parmi les risques majeurs des agents IA. Réduire les droits dès l’installation et les réexaminer régulièrement constitue une protection plus solide que de présumer que l’agent reconnaîtra toujours une instruction malveillante.