كشف باحث أمن macOS المعروف Patrick Wardle، مؤسّس Objective-See Foundation، عن ثغرة «يوم صفر» (Zero-Day) في تطبيق Muse من Meta على macOS، تسمح لأي تطبيق مثبّت محليًا أو أمر يُنفَّذ في الطرفية بالسيطرة على الوكيل واستغلال صلاحياته الواسعة. وجاء الكشف بينما كان مارك زوكربيرغ يؤكّد أن Muse «مبني من الأساس للخصوصية والأمان».
كيف تعمل الثغرة؟
- يتيح التطبيق لأي عملية محلية، بلا صلاحيات إدارية، تعديل قائمة طويلة من الإعدادات غير الموثّقة. معظمها غير ضار، مثل الوضع الداكن.
- أحد هذه الإعدادات، واسمه بحسب InfoQ
endo_voyager_dictation_endpoint، يحدّد الخادم الذي يستقبل الصوت المُملى ويعيد النص. - بتغييره إلى خادم يملكه المهاجم، يرسل التطبيق صوت الميكروفون ورمز المصادقة (Authentication Token) لحساب Muse إلى المهاجم، الذي يستطيع تمرير الطلبات إلى Meta كي لا يلاحظ أحد.
- بامتلاك الرمز يمكن التحكّم في الحساب وحقن أوامر خفيّة في الطلبات الصوتية، ودفع الوكيل إلى مهام في الخلفية مثل تسريب مستندات محلية أو سجلّ رسائل WhatsApp، وفق InfoQ.
قال Wardle: «بدل أن نكتب برنامجًا خبيثًا متكاملًا لسرقة بيانات Mac، يمكننا ببساطة استغلال مساعد الذكاء الاصطناعي نفسه». ونشر إثبات مفهوم باسم not-a-mused. والفكرة الأساسية أن المستخدمين يمنحون Muse صلاحيات واسعة على الملفات والميكروفون والكاميرا والتقويم، وهي الحماية التي بنتها Apple لسنوات عبر إطار الشفافية والموافقة والتحكّم (TCC)، فتصبح هذه الصلاحيات متاحة لمن يسيطر على الوكيل.
ردّ Meta
أصدرت Meta إصلاحًا عاجلًا (Hotfix) بعد أكثر من 12 ساعة من النشر، أزال مفتاح الإعداد الداخلي من نسخ الإنتاج. وتعاملت الشركة مع المشكلة كخلل إعدادات داخلي دون إصدار نشرة أمنية أو رقم CVE، ووصفها David Singleton من Meta Superintelligence Labs بأنها مشكلة إعدادات محلية تتطلّب تنفيذ كود مسبقًا. لكن مختصّين أمنيين ردّوا بأن الوصول الأوّلي سهل عبر حيل الهندسة الاجتماعية.
ويرى Wardle أن قرارين في التصميم جعلا الاستغلال ممكنًا: معالجة الإملاء في السحابة بدل الأدوات المحلية التي يوفّرها macOS، وإتاحة كل الإعدادات غير الموثّقة لأي تطبيق.
Amazon تحظر Muse
قبل نحو 12 ساعة من الكشف، بدأت Amazon منع المستخدمين من التسوّق عبر Muse، برسالة تصفه بأنه «وكيل ذكاء اصطناعي غير مصرّح به» يخالف شروط الاستخدام. وقالت Amazon إن التطبيقات التي تشتري نيابةً عن العملاء من شركات أخرى يجب أن «تعمل بشكل علني وتحترم قرارات مقدّمي الخدمة بشأن المشاركة».
ليه ده مهم؟
كلّما زادت صلاحيات الوكيل على الجهاز، صار الوكيل نفسه هدفًا مغريًا: من يسيطر عليه يرث كل ما منحه له المستخدم. الثغرة أُصلحت، لكنها تثير سؤالًا أوسع عن مدى اختبار وكلاء الذكاء الاصطناعي أمنيًا قبل إطلاقهم لملايين المستخدمين.
