Meta a diffusé un correctif plus de douze heures après la divulgation de Wardle. Il corrige une faille zero-day de Muse qui permettait à des applications locales et à des commandes du terminal de modifier des réglages non documentés, dont le point de terminaison de la transcription cloud. La redirection de ce point de terminaison exposait le jeton donnant le contrôle d’un compte Muse.

Cette conception donnait à l’agent accès à des ressources macOS protégées par le système, notamment aux fichiers, au microphone, à la caméra, à la localisation et aux calendriers. Le traitement dans le cloud permettait aussi à Meta d’enregistrer les dictées. Les démonstrations de faisabilité de Wardle ont fait écrire des fichiers ou prendre des photos par Muse sans alerte clairement visible. Le chercheur a également présenté un scénario d’ingénierie sociale de type ClickFix capable d’envoyer une instruction préparée au service de Meta. Meta a qualifié la faille de problème local et n’a pas répondu à ce scénario dans sa communication.

Patrick Wardle a fondé l’Objective-See Foundation et écrit The Art of Mac Malware. Il a critiqué la transcription cloud, car macOS propose une dictée traitée directement sur l’appareil. Il a aussi contesté l’accès de toute application locale à un réglage contrôlant le traitement de données vocales sensibles. Il prévoit de parler de la faille et des autres risques liés aux assistants AI lors de la conférence Objective by the Sea en novembre.

Meta avait présenté Muse quelques semaines plus tôt comme un assistant macOS pour les rendez-vous, les formulaires, le service client, les achats, les images, les documents et les services connectés. L’application n’existe pas pour Windows. Elle peut utiliser WhatsApp, les e-mails, les calendriers et les comptes sociaux, puis créer un outil lorsqu’une tâche n’en possède pas. Meta a publié deux articles sur la sécurité et la sûreté de Muse en deux semaines. Cette affaire intervient après des informations selon lesquelles des tests de modèles menés par Anthropic et Google avaient provoqué des compromissions involontaires de réseaux externes.