Meta Muse零日漏洞或将Mac助手变成后门入口

2026年9月26日，Ars Technica与Malwarebytes报道称，Meta面向macOS的人工智能助手Muse存在一项零日漏洞。安全研究员Patrick Wardle表示，已经在Mac本机运行的应用程序或终端命令，可借由修改Muse的一项未公开配置，取得用户Muse账户的认证令牌，并进而利用该助手已获授的权限访问数据或执行操作。

问题出在语音转写服务器设置

Meta称，Muse可协助预约、填写表单、处理客服事务、购物、制作文档，并连接WhatsApp、电子邮件、日历和社交平台等服务。为了完成这些任务，用户可能需要向它授予多个账户的登录授权，以及macOS受保护资源的访问权限，例如文件、麦克风、摄像头、位置和日历。

根据Ars Technica对Wardle研究的报道，Muse的设计允许任何本机安装的应用或已执行的代码修改一长串未公开设置，而不取决于该进程原本拥有何种macOS权限。其中多数设置可能只涉及界面功能，但有一项可改变语音听写转写所连接的服务器地址。正常情况下，该地址应指向Meta运营的服务器。攻击者若将其改为自己控制的地址，就可能截获语音提示内容和账户认证令牌。

并非无需前提的远程入侵

这项缺陷不是一种可直接远程攻破一台干净Mac的代码执行漏洞。攻击者仍须先在设备上运行代码，例如通过恶意软件、恶意应用或社会工程手段诱骗用户操作。报道特别提到ClickFix一类手法：攻击者会在网页或非请自来的消息中诱导用户复制并执行命令。这个前提缩小了攻击范围，但并不代表风险很低，因为本机初始访问本身仍可能通过欺骗获得。

• 不要一次性向新安装的智能体开放电子邮件、聊天工具、日历、云存储、支付方式和设备权限。
• 定期检查Muse或其他智能体连接的服务，删除并非实际需要的授权。
• 不要因为网页、文档、邮件或陌生消息的指示而直接在终端中运行命令。
• 及时更新macOS和应用程序，并使用保持更新的实时反恶意软件保护。

该事件的核心风险不只是一项设置可以被篡改，而是高权限智能体把多个服务和系统能力集中在一个已经认证的界面中。传统的信息窃取恶意软件通常需要分别寻找浏览器数据、凭据、文档和聊天记录。若攻击者能控制一个已连接多个账户的智能体，获取这些资源的门槛可能降低。

令牌可能成为接管智能体的钥匙

Wardle描述的一种攻击方式是让攻击者的服务器充当用户与Meta服务之间的中间节点。用户说出语音请求后，该服务器可能在请求中加入恶意指令，例如要求助手发送其有权读取的数据。报道说，认证令牌也会被自动发送到这个恶意服务器；Wardle据此认为，攻击者可获得对Muse账户的持续控制。

Wardle向Ars Technica表示，他已制作若干概念验证攻击，可借助Muse的权限向磁盘写入恶意文件或拍摄照片，其中一些情形下，即使用户较为警觉也未必会看到明显提示。这些能力属于研究员经媒体转述的说法。所提供的材料没有给出每个演示的完整技术细节，也没有显示对全部演示条件的独立验证。

Meta称已发布紧急修复

Ars Technica称，在其报道上线超过12小时后，Meta表示已发布修补该零日漏洞的紧急修复。现有材料没有说明具体涉及哪些版本、更新是否需要用户手动执行，或已可能暴露的账户是否需要采取额外处置。材料中也没有确认该漏洞已被大规模实际利用。用户不应把“已修复”的说法理解为对所有旧版本、所有设备状态或既往风险的完整说明。

报道还提到，在Wardle披露漏洞前约12小时，亚马逊开始阻止用户使用Muse在其网站购物，称Muse是违反其使用条件的未经授权AI代理。亚马逊表示，代表消费者购物的第三方应用应公开运作，并尊重服务提供商是否参与的决定，且已要求Meta将亚马逊从Muse体验中移除。这一平台访问争议与漏洞本身不同，但同样反映出代理型服务在权限和责任上的问题。

OWASP将提示注入、工具滥用、权限提升、数据外传、过度自主、记忆投毒和敏感数据暴露列为AI智能体的重要风险。对中国大陆使用Mac的个人、创作者和企业员工而言，较稳妥的做法是把智能体视为需要严格授权的软件：只开放完成当前任务所必需的账户和设备能力，留意异常的重新登录、外部文件分享或新增权限请求，并在不再使用时撤销连接。