Ein neu entdecktes Zero-Day-Sicherheitsleck in Metas KI-Assistenten Muse ermöglicht es lokal ausgeführten Anwendungen oder Terminalbefehlen, die vollständige Kontrolle über den Agenten zu erlangen. Dies stellt die von Meta-CEO Mark Zuckerberg beworbene Sicherheit des Systems, welches angeblich „von Grund auf für Datenschutz und Sicherheit entwickelt“ wurde, infrage. Der Sicherheitsexperte Patrick Wardle entdeckte die Schwachstelle, die er im November auf der Sicherheitskonferenz Objective by the Sea detaillierter vorstellen will.
Funktionsweise von Muse und seine Risiken
Meta hatte Muse erst vor wenigen Wochen vorgestellt. Der Assistent ist konzipiert, um eine Vielzahl von Aufgaben zu übernehmen, darunter das Buchen von Terminen, Ausfüllen von Formularen, Kundenservice, Einkäufe, Bildgenerierung und Dokumentenerstellung. Er kann sich zudem mit WhatsApp, E-Mail, Kalender und Social-Media-Konten des Nutzers verbinden. Um diese Funktionen auszuführen, benötigt Muse umfassende Zugriffsrechte auf Benutzerkonten und macOS-Systemressourcen wie das Schreiben von Dateien, Zugriff auf Mikrofon und Kamera sowie Standort- und Kalenderüberwachung. Apple hat über Jahre hinweg Schutzmechanismen entwickelt, um den Zugriff von Apps auf diese Ressourcen zu verhindern. Muse setzt diese Standardschutzmaßnahmen jedoch außer Kraft.
Details zur Schwachstelle
Die Zero-Day-Schwachstelle erlaubt es jeder lokal installierten App oder jedem ausgeführten Terminalbefehl, unabhängig von den macOS-Berechtigungen, auf das Authentifizierungstoken des Muse-Kontos zuzugreifen. Die Entwickler von Meta haben den Assistenten so konzipiert, dass lokale Anwendungen eine lange Liste undokumentierter Einstellungen ändern können. Eine dieser Einstellungen, die normalerweise den Endpunkt für die Transkription (ein von Meta betriebener Server) steuert, kann von Angreifern umgeleitet werden. Sobald dies geschieht, erhalten sie das Token und damit die vollständige Kontrolle über das Muse-Konto. Wardle hat Proof-of-Concept-Angriffe entwickelt, die beispielsweise bösartige Dateien auf die Festplatte schreiben oder Bilder aufnehmen können, oft ohne sichtbare Hinweise für den Nutzer.
Kritik an Metas Designentscheidungen
Laut Patrick Wardle sind mehrere Designentscheidungen von Meta für die Ausnutzbarkeit der Schwachstelle verantwortlich. Zum einen findet die Diktat- und Transkriptionsverarbeitung in der Cloud statt, wo Meta sie protokollieren kann, obwohl macOS eine sichere On-Device-Verarbeitung anbietet. Zum anderen kann jede App alle undokumentierten Einstellungen kontrollieren, einschließlich des sensiblen Transkriptions-Endpunkts. Wardle kritisiert, dass Meta die Sicherheit bei der Entwicklung von Muse offenbar nicht ausreichend berücksichtigt habe, was angesichts der weitreichenden Zugriffe des Assistenten besorgniserregend sei.
Amazons Reaktion
Rund zwölf Stunden vor der Offenlegung der Sicherheitslücke begann Amazon, die Nutzung von Muse auf seiner Plattform zu blockieren. Nutzer erhielten die Meldung, dass Muse ein „nicht autorisierter KI-Agent“ sei, der Amazons Nutzungsbedingungen verletze. Amazon forderte Meta auf, die Integration von Amazon aus dem Muse-Erlebnis zu entfernen, um eine sichere und zuverlässige Kundenerfahrung zu gewährleisten.
Potenzielle Angriffsvektoren
Ein möglicher Angriffsvektor ist eine Variation des sogenannten ClickFix-Angriffs, einer Methode, die Nutzer dazu verleitet, ihre Geräte zu infizieren. Dabei könnte ein Server des Angreifers als Proxy zwischen dem Muse-Nutzer und Metas Endpunkt fungieren. Eine vom Nutzer eingegebene Sprachaufforderung könnte dann mit einem bösartigen Befehl, etwa dem Senden eines Archivs aller WhatsApp-Nachrichten, erweitert werden. Dadurch würde das Authentifizierungstoken dauerhaft an den bösartigen Server weitergeleitet, was dem Angreifer dauerhafte Kontrolle über das Muse-Konto verschafft.
Thema: Meta. Quelle/Inspiration: Ars Technica.