Beveiligingsfout roept zorgen op over Meta's Muse AI-agent

09:32

Meta’s onlangs gelanceerde AI-assistent Muse staat onder druk vanwege een ernstige beveiligingskwestie die aanvallers in staat zou kunnen stellen om controle over een account te krijgen door gebruik te maken van de reeds aan de agent verleende machtigingen.

Het probleem ontstond kort nadat Muse snel populair werd in de Verenigde Staten en de top van de Apple’s gratis App Store-ranglijsten bereikte. In tegenstelling tot conventionele chatbots is Muse ontworpen om taken uit te voeren namens gebruikers, waaronder het boeken van afspraken, het invullen van formulieren, het afhandelen van klantenserviceverzoeken, het doorbladeren van websites en het doen van aankopen.

Beveiligingsonderzoeker Patrick Wardle ontdekte een zero-day kwetsbaarheid die de macOS-versie van Muse aantast. Volgens zijn analyse zouden lokaal draaiende applicaties of terminalcommando's niet gedocumenteerde instellingen binnen de assistent kunnen wijzigen, waaronder het eindpunt dat wordt gebruikt om spraaktranscripties te verwerken.

Door transcriptiegegevens om te leiden naar een door een aanvaller gecontroleerde server, zou de kwetsbaarheid de authenticatietoken die aan een Muse-account is gekoppeld, kunnen blootstellen. Die token zou een aanvaller vervolgens uitgebreide controle over het account kunnen geven en hen in staat stellen om gebruik te maken van machtigingen die de gebruiker eerder aan de AI-assistent had verleend.

Wardle demonstreerde proof-of-concept aanvallen die aantonen dat de bestaande privileges van Muse potentieel kunnen worden gebruikt om acties uit te voeren, zoals het schrijven van bestanden naar een computer of het openen van de camera. Hij beschreef ook een variant van de steeds gebruikelijker wordende ClickFix sociale-engineeringtechniek die zou kunnen helpen de kwetsbaarheid te activeren door gebruikers te overtuigen om kwaadaardige commando's uit te voeren.

De ontdekking benadrukt een bredere beveiligingsuitdaging die gepaard gaat met agentische AI. Het geven van een AI-systeem de mogelijkheid om te interageren met e-mail, agenda's, messagingdiensten, browsers en andere applicaties kan het aanzienlijk nuttiger maken, maar het betekent ook dat een succesvolle inbreuk gevolgen kan hebben die verder reiken dan die normaal gesproken geassocieerd worden met een traditionele chatbot.

Meta heeft Muse gepromoot als een assistent die is ontworpen met beveiligings- en privacycontroles, waaronder waarborgen die bedoeld zijn om ongeoorloofde acties te voorkomen en mechanismen die gebruikersgoedkeuring vereisen voor gevoelige bewerkingen. Ars Technica meldde dat Meta een hotfix heeft uitgebracht voor de zero-day nadat de kwetsbaarheid openbaar werd.

De beveiligingszorgen zijn ontstaan naast een aparte geschil met Amazon. Het e-commercebedrijf blokkeerde Muse om aankopen te doen op Amazon.com, met het argument dat de agent de site benaderde zonder zichzelf als een AI-agent te identificeren en zonder de toestemming van Amazon. Amazon zei dat applicaties van derden die aankopen namens klanten doen transparant moeten opereren en de beslissingen van dienstverleners moeten respecteren.

Meta heeft op zijn beurt gezegd dat Muse geen inzicht heeft in de wachtwoorden of betalingsinformatie van gebruikers en dat de door gebruikers verstrekte referenties veilig worden opgeslagen. De beschrijving van Muse door het bedrijf zegt dat de assistent kan interageren met websites via zijn eigen browser wanneer er geen openbare applicatieprogrammeerinterface beschikbaar is.

De twee ontwikkelingen zijn afzonderlijk, maar samen illustreren ze enkele van de moeilijkheden waarmee bedrijven worden geconfronteerd die AI-agenten ontwikkelen die in staat zijn om onafhankelijk online te handelen. Naarmate deze systemen toegang krijgen tot meer accounts, apparaten en diensten, staan beveiligingsonderzoekers en technologiebedrijven onder groeiende druk om ervoor te zorgen dat gemak niet ten koste gaat van gebruikerscontrole en gegevensbescherming.

De vroege populariteit van Muse suggereert dat consumenten steeds meer bereid zijn om complexe online taken aan AI-systemen te delegeren. De kwetsbaarheid toont echter aan waarom de beveiligingsarchitectuur rondom dergelijke agenten net zo belangrijk wordt als de mogelijkheden zelf. Een gecompromitteerde chatbot kan onjuiste informatie produceren, maar een gecompromitteerde agent met toegang tot echte accounts kan mogelijk acties ondernemen met directe gevolgen voor zijn gebruiker.