Meta Muse 曝严重 macOS 零日漏洞，可导致账户被完全接管
安全研究员 Patrick Wardle 披露，Meta 新推出的 macOS 智能助手 Muse 存在零日漏洞，本地应用或终端命令可窃取认证令牌并完全控制账户。
Ars Technica 报道，macOS 安全专家 Patrick Wardle 发现 Meta 智能助手 Muse 存在严重零日漏洞：任意本地安装的应用或终端命令，无论是否具备相应系统权限，都可修改一组未公开设置，其中一项可把语音转写端点改到攻击者服务器，从而获取完整 Muse 账户令牌。
Muse 可预约、填表、客服、购物，并连接 WhatsApp、邮件、日历与社交媒体；一旦任务缺少工具还会动态生成。为此用户需授予广泛系统权限。Wardle 称可借此操控代理，写出恶意文件、拍照等，且往往几乎无提示。攻击路径包括把攻击者服务器作转写代理注入恶意提示，以及简单变种的 ClickFix 社工。
Meta 近期多次强调 Muse「从底层为隐私与安全而建」，但未回应记者问询。Wardle 认为云端转写与任意应用可改敏感端点等设计决策降低了安全门槛。报道还指出，约在漏洞披露前 12 小时，亚马逊已开始拦截 Muse 在其站点上的购物行为。