Muse-lek maakt van Meta-assistent een route naar Mac-backdoors

Op 26 september 2026 werd bekend dat Meta’s macOS-assistent Muse een zero-daykwetsbaarheid bevat die lokaal uitgevoerde software kan misbruiken. Volgens de door Ars Technica beschreven bevindingen kan een app of een terminalopdracht een niet-gedocumenteerde instelling wijzigen en zo de controle over een Muse-account verkrijgen. Het gaat niet om een lek waarmee een aanvaller van buitenaf zomaar een schone Mac kan binnendringen. Wel kan code die al lokaal draait de assistent veranderen in een kanaal naar gegevens en functies waarvoor Muse eerder toestemming heeft gekregen.

De kwetsbaarheid is volgens Ars Technica gevonden door macOS-beveiligingsonderzoeker Patrick Wardle. Meta presenteert Muse als een agent die afspraken kan plannen, formulieren kan invullen, klantenservice kan afhandelen, aankopen kan doen en documenten kan maken. De app kan ook met WhatsApp, e-mail, agenda’s en sociale netwerken samenwerken. Voor die taken moet een gebruiker accounts koppelen en kan Muse macOS-toestemming krijgen voor onder meer bestanden, microfoon, camera, locatie en agenda’s.

Omgeleide dicteerstroom

De kern van het probleem is een instelling die bepaalt naar welke server Muse spraak voor transcriptie stuurt. Normaal is dat een door Meta beheerd adres. Wardle stelde echter vast dat lokaal draaiende apps en uitgevoerde code een lange lijst niet-gedocumenteerde Muse-instellingen kunnen aanpassen, ongeacht welke macOS-rechten die processen zelf hebben. Daaronder valt volgens het onderzoek ook de bestemming voor transcriptie.

Een aanvaller zou die bestemming kunnen vervangen door een eigen server. Daardoor kunnen gesproken opdrachten worden onderschept en kan ook het token worden verkregen waarmee het Muse-account van de gebruiker wordt geauthenticeerd. Met dat token krijgt de aanvaller volgens de beschrijving volledige controle over het account. Wardle zei tegen Ars Technica dat de rechten van de agent dan gebruikt kunnen worden in plaats van afzonderlijke malware te bouwen die gegevens moet verzamelen. Hij ontwikkelde naar eigen zeggen demonstraties die bijvoorbeeld bestanden konden schrijven en foto’s konden maken.

Eerst moet er lokale toegang zijn

De technische grens van de aanval is belangrijk. Een aanvaller moet eerst code op de Mac laten draaien, bijvoorbeeld via malware, een kwaadaardige toepassing of misleiding. De fout is dus geen remote-code-execution-lek dat een apparaat zonder voorafgaande toegang overneemt. Malwarebytes wijst er eveneens op dat die eerste stap noodzakelijk is. Toch is lokale uitvoering geen theoretisch obstakel: informatie-stelende malware bereikt ook Macs, en gebruikers kunnen worden verleid om zelf opdrachten uit te voeren.

Ars Technica noemt daarbij ClickFix-aanvallen, waarbij slachtoffers via een website of ongevraagd bericht instructies krijgen om een commando te plakken in Terminal. Wardle stelde dat een eenvoudige variant daarvan voldoende kan zijn om de Muse-aanval te starten. In een beschreven proefopstelling fungeert de server van de aanvaller als tussenpersoon. Die kan aan een gesproken prompt een schadelijke opdracht toevoegen, bijvoorbeeld om een archief met WhatsApp-berichten te versturen. Dat scenario is beschreven als proof of concept; het bronmateriaal levert geen bewijs dat het op grote schaal in het wild wordt gebruikt.

Een assistent bundelt toegang

Juist de verzameling van rechten maakt dit lek relevant. Traditionele infostealers moeten zelf browsergegevens, wachtwoorden, documenten, chatgeschiedenis en andere waardevolle informatie vinden. Een gecompromitteerde agent kan toegang tot meerdere diensten, gekoppelde accounts en besturingssysteemfuncties al achter één ingelogde interface hebben gebundeld. Daarmee kunnen ontwerpkeuzes rond configuratie en authenticatietokens grotere gevolgen hebben dan bij een app die slechts één afgebakende taak uitvoert.

• Koppel een nieuwe agent niet in één keer aan e-mail, chatdiensten, agenda’s, cloudopslag, betaalmethoden en apparaatmachtigingen.
• Controleer gekoppelde accounts regelmatig en verwijder toegang die niet werkelijk nodig is.
• Behandel instructies in webpagina’s, documenten en e-mails met wantrouwen; een agent herkent schadelijke prompts niet altijd.
• Let op onverwachte verzoeken om extra rechten, opnieuw inloggen, extern delen van bestanden of acties die niet zelf zijn gestart.

OWASP noemt promptinjectie, misbruik van hulpmiddelen, escalatie van rechten, data-exfiltratie, te grote autonomie, manipulatie van geheugen en blootstelling van gevoelige gegevens als voorname risico’s van AI-agenten. Dat betekent niet dat iedere agent per definitie onbruikbaar is. Wel past het principe van minimale rechten: een agent hoort alleen toegang te krijgen die voor de specifieke taak nodig is, en mag onbetrouwbare instructies niet zonder betekenisvolle controle in gevoelige handelingen omzetten.

Hotfix gemeld, ontwerpvragen blijven

Meer dan twaalf uur nadat het Ars Technica-artikel online stond, meldde Meta volgens die publicatie een hotfix voor de zero-day te hebben uitgebracht. Uit het beschikbare bronmateriaal blijkt niet hoe die reparatie technisch werkt of hoe snel alle installaties worden bijgewerkt. Ars Technica meldde ook dat Amazon Muse op zondag, ongeveer twaalf uur vóór Wardles openbaarmaking, begon te blokkeren voor aankopen. Amazon noemde Muse volgens het artikel een ongeautoriseerde AI-agent die de gebruiksvoorwaarden schendt en vroeg Meta Amazon uit de ervaring te verwijderen.

Voor Nederlandse Mac-gebruikers is de praktische boodschap vooral terughoudendheid. Gebruik Muse alleen wanneer de software is bijgewerkt, beperk koppelingen en machtigingen, en volg geen onverwachte terminalinstructies van websites of berichten. Wardles advies, aangehaald door Malwarebytes, is eenvoudig: Muse niet installeren. Ook voor andere agenten blijft het verstandig om software actueel te houden en zorgvuldig te bepalen welke accounts en apparaatfuncties werkelijk nodig zijn. Deze zaak onderstreept dat een handige assistent geen reden is om beveiligingsgrenzen ruimer te maken dan noodzakelijk.