Patrick Wardle, nhà sáng lập Objective-See và cựu nhân viên NASA/NSA, vừa công bố lỗ hổng zero-day trong ứng dụng Meta Muse trên macOS. Malware đã chạy trên Mac có thể chiếm quyền trợ lý AI, chuyển hướng lệnh dictate sang server kẻ tấn công, và từ đó truy cập iPhone đã liên kết để lấy vị trí và quét Bluetooth. Proof-of-concept có tên “not-a-mused” được công bố ngày 21/09, chỉ 4 ngày sau khi Meta ra mắt Muse trên Mac.

“endo_voyager_dictation_endpoint”

Lỗ hổng nằm trong một cài đặt chưa được ghi tài liệu tên là endo_voyager_dictation_endpoint. Theo Wardle, một tiến trình không có quyền nâng cao có thể thay đổi cài đặt này mà không cần quyền quản trị, chuyển hướng toàn bộ lưu lượng dictate từ đích đến dự kiến sang server do kẻ tấn công kiểm soát.

Việc chuyển hướng endpoint tạo điều kiện cho kẻ tấn công thực hiện prompt injection cũng như session hijacking thông qua quy trình làm việc AI đáng tin cậy. Cụ thể, trước khi dữ liệu kịp gửi tới backend của Muse, đối tượng xấu có thể lấy trộm thông tin xác thực tài khoản nạn nhân,  đánh tráo hoặc chèn lệnh độc hại trực tiếp vào agent, đồng thời chặn bắt các prompt dictate cùng dữ liệu âm thanh của người dùng.

Yếu tố nguy hiểm nhất chính là tính năng tương tác liên thiết bị (cross-device). Wardle đã chứng minh rằng khi ứng dụng Muse bị chiếm quyền điều khiển, nó có thể thông qua API tài khoản để truy cập vào danh sách thiết bị, tự chọn thiết bị đang trực tuyến rồi thực thi các lệnh từ xa. Trong kịch bản thực tế, phiên bản Muse trên máy Mac đã truy xuất vị trí hiện tại của chiếc iPhone đang ở Barcelona, đồng thời kích hoạt tiến trình quét Bluetooth Low Energy ngay trên điện thoại—mọi thao tác này đều diễn ra hoàn toàn ẩn đối với người dùng.

‘Access amplification’: Muse giúp malware gia tăng sức mạnh tác chiến

Dù lỗ hổng này không hỗ trợ thực thi mã từ xa trên một máy Mac chưa bị nhiễm, kẻ tấn công vẫn cần khởi chạy mã dưới quyền tài khoản người dùng trước, thông qua malware thông thường hoặc social engineering. Dẫu vậy, Wardle nhận định đây chính là cơ chế access amplification (khuếch đại quyền truy cập). Nhờ đó, mã độc vốn bị kiểm soát quyền riêng tư của macOS kìm hãm có thể lợi dụng Muse để tiếp quản toàn bộ các đặc quyền rộng lớn mà người dùng đã trao cho agent này.

Theo công bố từ Meta, Muse sở hữu khả năng xử lý file, ứng dụng, tab trình duyệt, kết nối email, lịch, duyệt web, mua sắm và chạy tác vụ ngầm. Những đặc quyền quy mô này sẽ ngay lập tức biến thành công cụ tấn công nguy hiểm một khi kênh lệnh tin cậy bị can thiệp.

Về mốc thời gian, Muse được trình làng vào ngày 08/09, phiên bản dành cho macOS phát hành ngày 17/09, và Wardle đã đưa ra PoC ngay sau đó vào ngày 21/09. Hiện Meta vẫn chưa đưa ra phản hồi chính thức về phát hiện này, dù hãng có chính sách thưởng bug bounty lên tới 300.000 USD cho các lỗ hổng Muse hợp lệ.

Bảo mật trên cloud không bù được lỗ hổng trên client

Hệ thống kiến trúc bảo mật của Muse được Meta thiết kế tập trung hoàn toàn vào hạ tầng điện toán đám mây, nổi bật với hai thành phần cốt lõi: Muse Secure VM (máy ảo độc lập chuyên dùng lưu trữ thông tin xác thực và dữ liệu) cùng Sentinel service (máy chủ giám sát lưu lượng mạng và các hành động connector). Nhờ cơ chế này, agent hoàn toàn không tiếp xúc với mật khẩu thô hay token xác thực, đồng thời các thiết bị di động cũng duy trì kết nối trực tiếp qua kênh truyền tải bảo mật.

Mặc dù vậy, chuyên gia Wardle nhấn mạnh rằng giải pháp cách ly trên cloud sẽ trở nên vô tác dụng nếu ứng dụng local phía client bị thao túng trước khi dữ liệu kịp gửi tới môi trường an toàn. Thậm chí, một cựu quản lý kỹ thuật bảo mật AI tại Meta cũng được cho là đã từ chối sử dụng Muse do những rủi ro đáng bận tâm về quyền riêng tư và an toàn thông tin.

Đáng chú ý, các giải pháp phát hiện đe dọa endpoint thường gặp nhiều rào cản khi phân biệt đâu là thao tác chính chủ của người dùng, đâu là tác vụ của agent hay hành vi can thiệp từ kẻ tấn công, bởi các lệnh đều thực thi qua ứng dụng đã được ký số tin cậy. Dù đây là thách thức kinh điển của bảo mật endpoint, nguy cơ lại tăng lên gấp bội khi AI agent sở hữu phạm vi truy cập sâu rộng vào hàng loạt dịch vụ liên kết.

Để ứng phó tạm thời, người dùng Muse trên macOS được khuyến nghị: chủ động tạm dừng ứng dụng, kiểm tra và thu hồi các quyền truy cập thừa, tiến hành thay đổi thông tin xác thực nếu phát hiện dấu hiệu bất thường, và liên tục giám sát lịch sử hoạt động của agent. Đối với môi trường doanh nghiệp, các tổ chức cần thắt chặt kiểm soát, hạn chế việc cài đặt AI agent chưa qua kiểm duyệt trên thiết bị Mac quản lý, đồng thời giám sát chặt chẽ mọi tiến trình có hành vi chỉnh sửa cấu hình endpoint của Muse.