Metas neuer macOS-KI-Assistent Muse wies eine kritische Schwachstelle auf, die es lokalen Prozessen ermöglichte, den Transkriptionsendpunkt auf einen Angriffs-Server umzuleiten und den Authentifizierungs-Token abzugreifen. Der vom Sicherheitsforscher Patrick Wardle aufgedeckte Fehler resultierte aus unzureichender Validierung undokumentierter Einstellungen sowie der Entscheidung für Cloud-Transkription statt nativer macOS-Dienste. Meta reagierte innerhalb von zwölf Stunden mit einem Hotfix, während Amazon den Zugriff des Assistenten auf seine E-Commerce-Plattform wegen Verstößen gegen die Nutzungsbedingungen untersagte.
Wichtigste Punkte
Muse-Architektur und Berechtigungen: Der macOS-Assistent Muse erfordert tiefgreifende Systemzugriffe, um WhatsApp, E-Mails, Kalender und Zahlungsvorgänge zu verwalten sowie eigenständig neue Werkzeuge im laufenden Betrieb zu erstellen.
Schwachstelle im Endpunkt: Die Sicherheitslücke erlaubte es jeder lokalen Anwendung oder jedem Terminalbefehl, undokumentierte Einstellungen zu manipulieren und insbesondere die Adresse für die Sprach-Transkription auf einen externen Server umzuleiten.
Token-Diebstahl und Account-Übernahme: Durch die Manipulation des Endpunkts erhielten Angreifer den Authentifizierungs-Token des Nutzers, wodurch sie vollständige Kontrolle über das Muse-Konto und die verknüpften Dienste erlangten.
Angriffsvektor (ClickFix): Der Exploit ließ sich effektiv mit ClickFix-Angriffen kombinieren – einer Social-Engineering-Methode, bei der Nutzer dazu gebracht werden, schädliche Befehle manuell im Systemterminal einzugeben.
Sperrung durch Amazon: Unabhängig von der Sicherheitslücke blockierte Amazon den Zugriff von Muse auf seine Website, da automatisierte Drittanbieter-Agenten die Nutzungsbedingungen verletzen.
Herstellerreaktion:Meta veröffentlichte rund zwölf Stunden nach der öffentlichen Offenlegung durch Patrick Wardle einen Hotfix, betonte jedoch, dass es sich um keinen Remote-Exploit handelte.
Diskussions-Highlights
Definition des Begriffs Zero-Day: In der Community entbrannte eine Debatte darüber, ob eine Schwachstelle, die lokale Codeausführung oder Social Engineering voraussetzt, klassisch als Zero-Day bezeichnet werden kann.
macOS-Sicherheitsarchitektur: Mehrere Kommentatoren merkten an, dass macOS ein fähigkeitsbasiertes Berechtigungssystem (Entitlements) nutzt und Code außerhalb einer Sandbox im Benutzerkontext standardmäßig weitreichende Lese- und Schreibrechte besitzt.
Cloud- vs. On-Device-Transkription: Nutzer erklärten Metas Verzicht auf native macOS-Transkriptionswerkzeuge damit, dass Apple-interne Lösungen qualitativ und bezüglich der Latenz weit hinter dem aktuellen Stand der Technik (SOTA) zurückbleiben.
Skepsis gegenüber Meta-Anwendungen: Kommentatoren kritisierten, dass Endanwender (Normies) sich der Gefahren von KI-Assistenten mit nahezu uneingeschränkten Admin-Privilegien kaum bewusst sind und Meta zu viel Vertrauen entgegenbringen.
Glossar
0-Day (Zero-Day-Schwachstelle): Eine neu entdeckte Sicherheitslücke in Soft- oder Hardware, die dem Hersteller noch völlig unbekannt ist und für die es noch keinen offiziellen Patch gibt.
ClickFix-Angriff: Eine Social-Engineering-Methode, bei der Opfer durch manipulierte Browser-Skripte oder Fehlermeldungen dazu gebracht werden, schädliche Befehle in die Zwischenablage zu kopieren und im Systemterminal auszuführen.
Entitlements (Berechtigungen): Sicherheits-Flags und Zugriffsrechte unter macOS, die festlegen, auf welche geschützten Systemressourcen oder APIs eine App zugreifen darf.
SOTA (State of the Art): Der technologische Höchststand oder die leistungsfähigste Implementierung auf einem bestimmten Entwicklungsgebiet (z. B. Sprachmodelle und KI).
Token (Authentifizierungs-Token): Ein digitaler Identifikationsschlüssel, der einer Anwendung nach erfolgreichem Login temporär den Zugriff auf ein Benutzerkonto oder einen Dienst erlaubt.
Sandbox: Eine isolierte Ausführungsumgebung in Betriebssystemen, die den Zugriff von Programmen auf andere Systemkomponenten, Dateien oder das Netzwerk strikt einschränkt, um Schäden zu verhindern.