El asistente de IA de Meta, Muse, sufre una grave vulnerabilidad de seguridad

Se ha descubierto que el nuevo asistente de IA de Meta, Muse, tiene una vulnerabilidad crítica de día cero que permite a los atacantes tomar el control total de las cuentas de los usuarios. El experto en seguridad Patrick Wardle descubrió la falla, que permite que cualquier aplicación o comando de terminal instalados localmente accedan al token utilizado para la autenticación del usuario. Esto permite a los atacantes redirigir los servicios de transcripción a sus propios puntos finales, lo que les otorga el control total sobre las cuentas de Muse. Wardle demostró cómo los atacantes podían explotar esta falla para realizar acciones como escribir archivos maliciosos y capturar fotos sin el conocimiento del usuario. Meta lanzó una actualización de emergencia 12 horas después de que se revelara la vulnerabilidad, pero Wardle criticó a la empresa por no abordar adecuadamente los riesgos de seguridad. Señaló que las decisiones de diseño de Muse, como la transcripción basada en la nube y permitir que cualquier aplicación controle la configuración no documentada, hicieron posible la explotación. Amazon también comenzó a bloquear Muse de su sitio, citando violaciones de sus términos de servicio. Wardle tiene previsto discutir la vulnerabilidad más a fondo en la conferencia de seguridad Objective by the Sea en noviembre.