L’assistente IA Muse di Meta lanciato con una grave falla di sicurezza
Il fondatore e CEO di Meta, Mark Zuckerberg, ha decantato le lodi della sicurezza del suo nuovo assistente IA, Muse, affermando che è stato “costruito da zero per la privacy e la sicurezza”. Una vulnerabilità zero-day, tuttavia, che consente ad applicazioni locali e comandi da terminale di ottenere il controllo completo dell’agente, solleva seri dubbi. A ulteriore conferma dei timori, Amazon ha iniziato a bloccare Muse dal suo sito.
Presentato da Meta poche settimane fa, Muse è un assistente progettato per “prenotare appuntamenti, compilare moduli e gestire il servizio clienti”, “prendere proattivamente incarichi” e “fare acquisti, generare immagini, creare documenti e connettersi con app e servizi preferiti”. L’applicazione per macOS (curiosamente, non esiste una versione per Windows) si integra anche con WhatsApp, email, calendario e account social dell’utente. Quando un compito richiede uno strumento inesistente, Muse lo crea al volo. Per svolgere queste funzioni, gli utenti devono concedere a Muse un accesso esteso ai propri account e, dato che l’app funziona su macOS, ampie autorizzazioni a risorse di sistema sensibili, come la scrittura di file su disco, l’accesso a microfono e fotocamera, e il monitoraggio di posizione e calendari. Apple ha dedicato anni allo sviluppo di queste difese per impedire ad app installate o comandi da terminale di accedere a tali risorse, considerandole chiaramente una minaccia per la sicurezza. Muse, di fatto, annulla queste misure predefinite.
La vulnerabilità zero-day permetteva a qualsiasi app o comando da terminale di accedere al token che autentica gli utenti al loro account Muse. Gli sviluppatori di Meta avevano progettato l’assistente in modo che qualsiasi app installata localmente o codice eseguito, indipendentemente dalle autorizzazioni macOS, potesse modificare un lungo elenco di impostazioni non documentate. La maggior parte di esse erano innocue, come il controllo della modalità scura. Una impostazione, tuttavia, era tutt’altro che innocua: consentiva ai processi di cambiare l’endpoint dove avviene la trascrizione. Normalmente, si tratta di un indirizzo server gestito da Meta. Gli aggressori avrebbero potuto sfruttare questa falla modificando la posizione verso un proprio endpoint. Se ciò fosse accaduto, gli attaccanti avrebbero avuto il token che garantisce il controllo completo sull’account Muse.
“Possiamo manipolare l’agente e sfruttare i suoi privilegi per fare tutto ciò che vogliamo”, ha dichiarato ad Ars Patrick Wardle, l’esperto di sicurezza macOS che ha scoperto la vulnerabilità zero-day, prima del rilascio della hotfix. “Quindi, invece di dover scrivere un malware completo per Mac, possiamo semplicemente sfruttare l’assistente AI stesso”. Wardle ha affermato di aver sviluppato diversi attacchi proof-of-concept che eseguono azioni come la scrittura di file malevoli su disco e lo scatto di foto, in molti casi senza alcuna indicazione nemmeno per un utente attento. Più di 12 ore dopo la pubblicazione di queste scoperte, Meta ha dichiarato di aver rilasciato una hotfix per la vulnerabilità.
Meta aveva pubblicato due post nelle ultime settimane documentando le scelte di progettazione volte a garantire che un assistente con un accesso così straordinario ai dati e alle risorse dell’utente fosse sicuro e privato. Questi post giungevano in un contesto di rivelazioni in cui test interni di modelli di Anthropic e Google avevano portato a violazioni della sicurezza di reti esterne e di terze parti che gli ingegneri coinvolti non intendevano targetizzare. Nelle tradizionali attività di hacking “umane”, queste azioni potrebbero comportare l’avvio di procedimenti penali. I post di Meta erano probabilmente consapevoli delle polemiche e degli appelli a rallentare lo sviluppo dell’IA. Wardle ha sottolineato che gli sviluppatori di Meta hanno preso diverse decisioni di design che hanno reso possibile il suo exploit. Una di queste è stata la scelta di far avvenire la dettatura di Muse nel cloud, dove Meta può registrarla. macOS fornisce da tempo un mezzo semplice per le app di gestire dettatura e trascrizione in processi che rimangono saldamente sul dispositivo. Se gli sviluppatori avessero scelto questa alternativa più sicura, l’attacco non sarebbe stato possibile.