ميتا تطلق تصحيحاً عاجلاً بعد ثغرة يوم الصفر سمحت لأي تطبيق باختطاف عميل الذكاء الاصطناعي Muse

أطلقت ميتا تصحيحاً طارئاً لعميل الذكاء الاصطناعي الشخصي Muse على ماك في 22 سبتمبر، بعد أن كشف الباحث الأمني في نظام macOS باتريك واردل عن ثغرة يوم صفر سمحت لأي تطبيق يعمل محلياً أو أمر طرفية باختطاف مصادقة المساعد وتنفيذ إجراءات نيابة عن المستخدم، بما في ذلك التقاط الصور وكتابة الملفات على القرص دون تحذير.

التوقيت محرج لميتا؛ فقد أمضت الشركة الأسبوعين منذ إطلاق Muse على ماك في الترويج لبنية أمان العميل — جهاز افتراضي آمن مخصص، ونظام مراقبة يُدعى Sentinel، ومكافآت اكتشاف الثغرات تصل إلى 300 ألف دولار — مع تصريح علني من مارك زوكربيرغ بأن العميل «مبني من الألف إلى الياء من أجل الخصوصية والأمان». أطلق واردل على إثبات المفهوم اسم «not-a-mused»، في إشارة ساخرة لهذا الطرح.

أُطلق Muse علناً في 8 سبتمبر وتوسع إلى ماك في 17 سبتمبر كخطوة تتجاوز روبوت الدردشة: عميل مصمم لإرسال رسائل البريد الإلكتروني، وملء النماذج، وإتمام المدفوعات، وإجراء عمليات شراء نيابة عن المستخدم، وهو ما يتطلب منحه وصولاً واسعاً إلى التطبيقات والحسابات.

كيف عملت الثغرة

وجد واردل أن أي عملية تعمل محلياً تحت مستخدم macOS المسجل دخوله — دون الحاجة لأذونات مرتفعة — يمكنها تعديل مجموعة من إعدادات تكوين Muse غير الموثّقة، بما فيها إعداد يُدعى endo_voyager_dictation_endpoint الذي يتحكم بالوجهة التي يرسل إليها التطبيق طلبات الإملاء الصوتي للمستخدم لمعالجتها. إعادة توجيه هذه النقطة إلى خادم يتحكم به المهاجم تعني أن الطلب الصوتي التالي سيُسرّب رمز مصادقة حساب Muse للمستخدم، مما يمنح المهاجم التحكم بالعميل نفسه.

كتبت هجمات إثبات المفهوم التي نفذها واردل ملفات ضارة على القرص، والتقطت صوراً عبر كاميرا الماك، واستخرجت الموقع اللحظي لآيفون مرتبط — كل ذلك دون علم المستخدم. أشار واردل أيضاً إلى أن آبل توفر بالفعل واجهة برمجية للإملاء على الجهاز كانت ستتجنب المشكلة تماماً؛ بدلاً من ذلك، يوجّه Muse بيانات الصوت إلى خوادم ميتا، وهو ما جعل النقطة قابلة للاختطاف أصلاً.

ثغرة محلية بقدرة استغلال عن بُعد

تعاملت ميتا في البداية مع هذا باعتباره هجوماً محلياً فقط، لأن المهاجم المحتمل يحتاج إلى تشغيل كود على جهاز ماك الخاص بالضحية أصلاً. لكن واردل أوضح لاحقاً على منصة X أن هجوماً بسيطاً على طراز ClickFix — خداع المستخدم للصق أمر في الطرفية، وهي التقنية التي أصبحت الطريقة الأكثر شيوعاً لوصول البرمجيات الخبيثة إلى أجهزة ماك — كان كافياً لتنفيذ الاستغلال عن بُعد، مما يمنح المهاجم تحكماً كاملاً بأي جهاز يشغّل Muse.

دفعت ميتا تصحيحاً بعد نحو 16 ساعة من الإفصاح. وبشكل منفصل، وعلى ما يبدو غير مرتبط بالثغرة، بدأت أمازون بحظر Muse من إجراء عمليات شراء على موقعها، وهي إشارة أخرى إلى أن شركات أخرى تتعامل مع مساعدي الذكاء الاصطناعي الوكيلين كفئة جديدة من المخاطر لا كمجرد وسيلة راحة.

لماذا يهم هذا الأمر

يُعد Muse أحد أوائل عملاء الذكاء الاصطناعي الاستهلاكيين السائدين الذين مُنحوا هذا المستوى من الوصول إلى ملفات المستخدم ورسائله ووسائل الدفع، وتُظهر الثغرة كيف يمكن لإعداد واحد غير موثّق أن يقوّض بنية أمان مُروَّج لها بشدة. بالنسبة لأي شركة تطلق عميلاً بأذونات محلية واسعة، الدرس واحد وهو ما أثبته واردل في أبحاث سابقة: نادراً ما تكون الحلقة الأضعف هي نموذج الذكاء الاصطناعي نفسه، بل سطح التكوين العادي المحيط به. يجب على مستخدمي ماك الذين يشغّلون Muse التحديث إلى أحدث إصدار فوراً.