Muse от Meta отдаёт диктовку чужому серверу: адрес подменяет программа без спецправ

Уордл разбирает внутренности macOS профессионально, его PoC называется not-a-mused. С одного Mac он дотянулся до API инвентаря устройств, больше 50 доступных команд, и владелец телефона не увидел ничего.

Muse — персональный агент Meta. На Mac он просит доступ к пяти приложениям: Files, Mail, Messages, Calendar, Notes. Дыра отдаёт этот доступ любой программе, которая уже оказалась на машине.

08.09.2026 Muse вышел в США на телефонах, в браузере и внутри WhatsApp. 17.09 приехала версия для Mac и попросила файлы, почту и переписку. Через четыре дня появился публичный PoC.

Что сломано. В macOS-клиенте Muse лежит недокументированная настройка endo_voyager_dictation_endpoint, адрес сервера для диктовки. Переписать её может обычный процесс без спецправ. На сервер атакующего уезжают аудио, промпты и аутентификационный материал, а обратно агенту подсовывают чужие инструкции.

Одним кликом не берут. Сначала на Mac нужно запустить код, сам по себе Muse дверь не открывает. Уордл называет дыру повышением привилегий, малварь получает «куда более широкий доступ, чем имела бы иначе». Такой запуск выбивают социнженерией: схема ClickFix просит вставить в Terminal строку, подложенную сайтом под видом капчи.

Права снимаются в Settings. Доступ Muse к компьютеру включает сам пользователь, Full Disk Access ставится по желанию. Доступ к каждому из пяти приложений выдаётся и отзывается в Settings в любой момент. Приложение бесплатное, качается с сайта Meta, на бесплатном тарифе 100 млн токенов в неделю.

У Apple есть готовый API диктовки прямо на устройстве. Meta построила свой бэкенд, и Уордл связывает это с доступом к данным.

Баг-баунти Muse платит до $300 000 за уязвимость и до $130 000 за prompt injection.