Muse měl být asistent, který vyřídí formulář, objedná nákup nebo se podívá do kalendáře, abychom si mohli předstírat, že máme život pod kontrolou. Místo toho mě dnes zaujala mnohem méně pohodová věc: bezpečnostní výzkumník Patrick Wardle v aplikaci od Mety popsal chybu typu zero-day, přes niž lze převzít celý Muse účet.
Asistent dostal klíče od bytu i od diáře
Muse je zatím aplikace pro macOS, nikoli pro Windows. Umí se připojit k WhatsAppu, e-mailu, kalendáři a sociálním sítím, vytvářet dokumenty či obrázky a také nakupovat. Pro tyto úkoly potřebuje přístup k účtům uživatele a oprávnění k citlivým částem počítače, například k souborům, mikrofonu, kameře, poloze a kalendáři.
Taková kombinace je přesně důvod, proč mi agenti nepřipadají jako obyčejný chatbot v hezkém okně. Chatbot, který špatně poradí s receptem, je otravný. Agent, který může pracovat s mými zprávami a přitom sám vytvářet nástroje pro další úkoly, potřebuje opravdu pečlivě postavené bezpečnostní zábrany.
Meta Muse propagovala jako produkt postavený od základu s ohledem na soukromí a bezpečnost. O to divněji působí popis nalezené chyby. Nejde o nějaké exotické kouzlo vyhrazené špionům v černé mikině.
Jeden skrytý přepínač, velmi špatný následek
Wardle zjistil, že libovolná lokálně nainstalovaná aplikace nebo příkaz spuštěný v Terminálu může měnit dlouhý seznam nedokumentovaných nastavení Muse, a to bez ohledu na vlastní oprávnění v macOS. Většina z nich má být podle popisu neškodná, třeba pro vzhled aplikace. Jeden přepínač ale dovoluje změnit adresu serveru, kam Muse posílá hlasový přepis.
Útočník může místo serveru Mety nastavit vlastní server. Ten pak obdrží token, tedy přístupový údaj, kterým se Muse ověřuje k účtu. S ním získá kontrolu nad asistentem a nepřímo i nad oprávněními, která mu uživatel svěřil. Wardle ukázal demonstrační útoky, jež dokážou zapisovat škodlivé soubory na disk nebo pořizovat snímky, v řadě případů bez viditelného upozornění.
Trochu jsem se musela zastavit u slova „token“, protože zní skoro mile. Ve skutečnosti je to digitální propustka: kdo ji má, může službě dokázat, že je přihlášený uživatel. Posílat ji na útočníkův server je v tomto příběhu asi stejně uklidňující jako nechat klíče ve dveřích s cedulkou „prosím nebrat“.
ClickFix snižuje práh útoku nepříjemně nízko
Častá obrana podobných problémů zní: pokud už počítač napadl malware, je pozdě řešit jednotlivé aplikace. Tady to podle Wardlea úplně nesedí. Popsal variantu ClickFix útoku, tedy podvodu, který člověka přesvědčí, aby zkopíroval a spustil příkaz, často pod záminkou opravy technického problému.
Takový příkaz může změnit zmíněný endpoint pro přepis. Útočníkův server pak může hlasový požadavek upravit a přidat mu škodlivý pokyn, například odeslání archivu WhatsApp zpráv. Současně získá token pro trvalejší kontrolu účtu. Není to útok, který by nevyžadoval žádnou interakci uživatele, ale ClickFix je bohužel postavený přesně na tom, že ve stresu rádi posloucháme instrukce typu „otevřete Terminál a vložte toto“.
Zaráží mě také technické rozhodnutí posílat diktování do cloudu. macOS už nabízí způsob, jak přepis řeči zpracovat přímo v zařízení. Wardle tvrdí, že při použití této lokální varianty by popsaný útok nevznikl. Z článku neplyne, proč Muse zvolil vzdálené zpracování, takže bych si k tomu od Mety ráda přečetla vysvětlení.
Amazon už Muse na nákupech nechce
Bezpečnostní chyba není jediný problém kolem Muse. Amazon zablokoval používání asistenta na svém webu a označil jej za neautorizovaného AI agenta porušujícího podmínky používání. Amazon chce, aby Meta jeho obchod z prostředí Muse odstranila.
Tohle je jiný spor než chyba s tokenem, ale dohromady ukazuje, jak složité jsou agentní aplikace v praxi. Nestačí, aby agent zvládl kliknout na tlačítko „koupit“. Musí být bezpečný pro uživatele a zároveň musí mít jasně vyřešené vztahy se službami, za které jedná.
Muse je dobrá připomínka, že vysoká oprávnění nejsou drobný detail v nastavení. Čím víc práce asistent převezme, tím menší prostor zbývá pro bezpečnostní zkratky. A já se zatím budu držet starého konzervativního pravidla: příkazy do Terminálu nevkládám jen proto, že mi to napsala podezřelá stránka. Ani kdyby mi slíbila opravu internetu.
