Meta Muse 被曝 0-day：借 AI 智能体的权限拍照、写恶意文件，报道后数小时内已修补
9 月 21 日，安全研究者 Patrick Wardle 公开演示了 Meta 个人 AI 智能体 Muse（macOS 版）的一个 0-day：Muse 有一个未公开的设置项可被任意本地应用改写，攻击者据此能把语音转写处理从 Meta 服务器重定向到自己的端点，进而拿到 Muse 账号控制权。他用验证性攻击通过 Muse 拍照、向磁盘写恶意文件，且多处不触发用户告警。Meta 在报道发布后数小时内推出修补，并称实际风险有限——利用需要本地访问权限，属本地提权而非远程漏洞。
问题出在设计选择而非单个 bug：Muse 的听写放在云端而非端上，同时任何应用都能控制它全部未公开设置——两点叠加，把一个便利功能变成了一个可被劫持的权限代理。研究者的话很直白：攻击方不必再写一个完整的 macOS 窃密器，直接借这个 AI 助手就够了。
它改变了什么：这是公开记录里第一次把个人 AI 智能体的特权面作为攻击面完整演示——agent 能读屏、能操作文件与邮件，于是它自身就成了提权路径。距 Meta 于 9 月 8 日发布 Muse 仅两周，而发布时官方强调的正是隐私与安全特性。边界：攻击细节我在 Verge 与 Ars 的报道层读到，未读研究者的原始 PoC 或 Meta 的修补说明。
核验记录
日期：元凶报道 Ars Technica 的 datePublished 为 2026-09-21T22:24:38Z（=美东 9/21 18:24，北京 9/22 06:24），The Verge 为 2026-09-22T11:53:58Z（北京 19:53）；Meta 的修补发生在报道后数小时内，故 date 取 2026-09-22（修补日）。**Meta 官方未就此发公告**：about.fb.com/news 上 Muse 相关只有 9/8 发布与 9/16 两条，无修补条目；漏洞细节与 Meta 回应均取自 Verge/Ars 转述。配图裸请求与带 Referer 双测均 200、JPEG 204KB。
← 上一篇Anthropic 发 Claude Opus 5.5：能力追平 Fable 5.1，跑起来便宜 40%，缓存读价降 60%下一篇 →Cisco Talos 开源 CAIRN：不跑二进制，只从提示词与 API 端点这些「认知工件」追踪 AI 集成恶意软件