Un investigador descubrió que cualquier app o comando local podía modificar un ajuste de configuración no documentado para redirigir el tráfico de voz de Muse hacia un servidor controlado por el atacante, y robar así el token de autenticación de la cuenta. (Fuente: Ars Technica)
El asistente de IA para hacer de todo de Meta, Muse, se lanzó hace dos semanas, y la compañía ya tuvo que corregir una vulnerabilidad de día cero bastante seria en su app para computadoras Mac. David Singleton, de Meta Superintelligence Labs, dijo poco después de la medianoche del martes que la compañía había emitido un hotfix para la vulnerabilidad. Meta había lanzado Muse el 8 de septiembre como un agente de IA personal capaz de manejar tareas como enviar correos, reservar viajes, hacer compras y seguir objetivos.
Para hacer todo eso, los usuarios le dan a Muse acceso a una amplia variedad de apps, cuentas y funciones del dispositivo, lo que hace que cualquier vulnerabilidad que pudiera secuestrar al agente resulte particularmente preocupante. La vulnerabilidad fue descubierta por el investigador de seguridad de Mac Patrick Wardle, quien reveló sus hallazgos el lunes. Wardle le dijo a Ars Technica que desarrolló varios ataques de prueba de concepto que hacían cosas como escribir archivos maliciosos en el disco y sacar fotos, en muchos casos sin ninguna indicación ni siquiera para un usuario alerta.
Según Wardle, una aplicación instalada localmente o un comando de terminal podía alterar un ajuste de configuración no documentado de Muse que controla el servidor usado para la transcripción de dictado. Al redirigir el tráfico de dictado hacia un servidor controlado por el atacante, este podía capturar las instrucciones de voz y obtener el token de autenticación de la cuenta de Muse de la víctima. Desde ahí, un atacante podía efectivamente secuestrar a Muse y aprovechar los permisos que el usuario ya le había otorgado al asistente.
No se trata de una vulnerabilidad de ejecución remota de código que pueda comprometer una Mac limpia por sí sola: el atacante primero necesita una forma de ejecutar código de forma local, ya sea a través de malware, una aplicación maliciosa o ingeniería social. Pero como ya se vio con malware de tipo infostealer llegando a computadoras Mac, ese acceso inicial está lejos de ser imposible.
Meta construyó una configuración de seguridad bastante elaborada alrededor de Muse específicamente para prevenir este tipo de problema. Cada instancia de Muse corre dentro de su propia máquina virtual aislada en la nube, junto a un sistema de supervisión separado llamado Sentinel que actúa como lo que Meta describe como la única autoridad de permisos sobre los servicios conectados y todo el tráfico saliente de internet. En lugar de dejar que Muse acceda directamente a credenciales de inicio de sesión reales, Sentinel reemplaza esas credenciales con tokens sustitutos en el límite de la red, lo que significa que el agente en sí nunca ve contraseñas reales ni detalles de pago.
Meta se resistió un poco frente a cuánto peligro representaba realmente la vulnerabilidad, señalando que un atacante primero necesitaba lograr que corriera código malicioso en la computadora de la víctima. La compañía explicó que este fue un ataque de escalamiento de privilegios local, no un exploit remoto. Wardle resumió el problema diciendo que se puede manipular al agente y aprovechar sus privilegios para hacer lo que se quiera, de modo que en lugar de tener que escribir un ladrón de malware para Mac muy completo, simplemente se puede aprovechar al propio asistente de IA.
Meta corrigió el problema dentro de las horas posteriores a la publicación del artículo de Ars Technica.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.