Kamera ve dosyalar bile kullanılabiliyordu
Güvenlik araştırmacısı Patrick Wardle tarafından keşfedilen açık, Muse'un sesli komutları işleme biçiminden kaynaklanıyordu. Muse normalde konuşmaları Meta'nın sunucularına göndererek işliyor. Açığı kullanan bir saldırgan ise bu işlemin yapılacağı adresi kendi sunucusuyla değiştirebiliyordu. Böylece Muse'un kullanıcı hesabına bağlanmasını sağlayan hassas bilgiler saldırgana ulaşabiliyordu.
[twitter= https://x.com/patrickwardle/status/2102045926474785265]
Bu bilgiler ele geçirildiğinde saldırgan, Muse'un kullanıcı adına yapabildiği işlemlerden yararlanabilecek duruma gelebiliyordu.
Sorunun etkisini artıran bir diğer konu ise Muse'un bilgisayarda sahip olduğu geniş erişim izinleri. Uygulama, görevlerini yerine getirebilmek için dosyalara erişme, mikrofon ve kamerayı kullanma, konum ve takvim bilgilerine ulaşma gibi çeşitli izinlere ihtiyaç duyuyor.
Patrick Wardle, açığı test etmek için hazırladığı örnek saldırılarda Muse üzerinden bilgisayara zararlı dosyalar yazabildiğini ve fotoğraf çekebildiğini gösterdi. Üstelik bazı durumlarda kullanıcıya bu işlemlerin yapıldığına dair herhangi bir uyarı gösterilmedi.
Meta hızlıca güncelleme yayınladı
Meta Superintelligence Labs yöneticisi David Singleton, bu nedenle gerçek dünyadaki riskin düşük olduğunu söyledi. Bununla birlikte şirket, sorunu gidermek için Muse'a hızlı bir güvenlik güncellemesi yayınladı.
Meta’nın Muse asistanı bilindiği üzere randevu alma, formları doldurma, müşteri hizmetleriyle iletişim kurma, alışveriş yapma, belge ve görsel oluşturma gibi işlemleri kullanıcı adına gerçekleştirebiliyor. Ayrıca WhatsApp, e-posta, takvim ve sosyal medya hesaplarıyla bağlantı kurabiliyor. Bu özellikleri nedeniyle Muse, yoğun ilgi gördü. Mobil uygulamanın ABD ve Kanada'daki ilk 12 günlük indirme sayısının, ChatGPT'nin aynı dönemdeki çıkış performansını geçtiği aktarılıyor.
