O assistente de IA Muse da Meta apresenta uma vulnerabilidade zero-day que permite a apps locais assumirem o controlo total da conta do utilizador no macOS.
Uma falha crítica no assistente Muse
O novo assistente de inteligência artificial da Meta, o Muse, está sob escrutínio após a descoberta de uma vulnerabilidade zero-day que compromete a segurança dos utilizadores no macOS. Segundo a Ars Technica, a falha permite que aplicações instaladas localmente ou comandos de terminal obtenham controlo total sobre o assistente, contornando as permissões de segurança nativas do sistema operativo da Apple.
Patrick Wardle, especialista em segurança macOS, demonstrou que é possível manipular o assistente para aceder a tokens de autenticação e alterar definições críticas. Entre as configurações que podem ser modificadas está o ponto de extremidade (endpoint) para a transcrição de voz. Ao redirecionar este endereço para um servidor controlado pelo atacante, é possível obter acesso permanente à conta do utilizador, permitindo ações como o envio de mensagens privadas ou a execução de comandos maliciosos.
Design e decisões de segurança
A Meta tem promovido o Muse como uma ferramenta construída com foco na privacidade e segurança. Contudo, Wardle aponta que decisões de design específicas facilitaram este exploit. A escolha de processar a ditada na cloud, em vez de utilizar os processos locais seguros do macOS, é um dos pontos críticos identificados pelo investigador. O especialista sublinha que a segurança não parece ter sido uma prioridade desde o início do desenvolvimento da aplicação.
Amazon bloqueia o Muse
A gravidade da situação levou a Amazon a tomar medidas imediatas. Cerca de 12 horas antes da divulgação pública da vulnerabilidade por Wardle, a empresa começou a bloquear o acesso do Muse ao seu site. A Amazon classificou o Muse como um "agente de IA não autorizado" que viola os seus termos de utilização, sublinhando que aplicações de terceiros que efetuam compras em nome de clientes devem respeitar as decisões dos fornecedores de serviços.
Este caso levanta questões sobre a integração de agentes de IA com acesso profundo a dados pessoais, como e-mail, calendário e redes sociais. Enquanto a Meta enfrenta o escrutínio sobre a segurança dos seus modelos, o caso do Muse serve como um alerta para os riscos associados a assistentes com privilégios extraordinários no sistema operativo.
Fontes
Antes de comprares, compara no AHT Scan
Vê preços em várias lojas, promoções e histórico observado num único lugar.
Google Cloud antecipa cibersegurança em 2027 com foco em agentes autónomos e integridade de decisões
Git: 6 vulnerabilidades de segurança corrigidas. Atualize agora
Gemini 4 Carbon: A nova aposta da Google para agentes de desenvolvimento