Lek in Muse laat malware op Mac bij je iPhone

Onderzoeker Patrick Wardle heeft een zwakke plek gevonden in de Mac-versie van Muse, de persoonlijke AI-agent die Meta op 8 september uitbracht. Malware die al op een Mac draait kan via de agent doorstoten naar andere apparaten op hetzelfde Muse-account, tot en met de iPhone van de gebruiker. Wardle, oprichter van de Objective-See Foundation, publiceerde zijn bevindingen op 21 september.

Een verborgen instelling als ingang

De aanval draait om een niet-gedocumenteerde instelling in de macOS-app, endo_voyager_dictation_endpoint. Een lokaal proces kan die waarde naar een eigen server laten wijzen. Daarmee onderschept een aanvaller de audio van dicteeropdrachten én de inloggegevens waarmee de app bij Muse aanklopt. Vanaf dat punt is de API met de apparatenlijst bereikbaar, en volgens Wardle staan daar meer dan vijftig commando’s op die op gekoppelde apparaten uitgevoerd kunnen worden.

In zijn proof of concept vroeg hij de locatie van een iPhone op en liet hij het toestel scannen naar Bluetooth-apparaten in de buurt. De Mac zelf was daarvoor niet eens nodig; de agent deed het werk. Wardle noemt dat access amplification: je valt één app aan en erft het volledige bereik dat de gebruiker aan de agent heeft gegeven.

Wat de aanval wel en niet is

Er zit een flinke voorwaarde aan. De aanvaller moet al code kunnen uitvoeren op de Mac, onder het account van de gebruiker. Dit is dus geen kwetsbaarheid waarmee iemand van buitenaf zomaar binnenkomt. Wie al malware op zijn machine heeft, heeft sowieso een probleem. Het punt van Wardle is dat dat probleem met een AI-agent erbij veel groter wordt dan vroeger, omdat de schade niet meer stopt bij de besmette computer.

Dat sluit aan bij wat we eerder zagen bij Plugin4Shell in codeer-agenten en bij de onveilige bronnen achter duizenden AI-skills: de agent is de nieuwe rechtenbundel, en daarmee het interessantste doelwit.

Meta’s eigen beveiligingsmodel

Meta beschrijft Muse als een agent die in een afgeschermde virtuele machine draait, de Muse Secure VM, waarin de agent en de gegevens van één gebruiker samen zitten. Een apart proces, Sentinel genaamd, moet meekijken en toestemming vragen voordat er data naar buiten gaat. In de technische documentatie staat ook dat de agent geen ruwe wachtwoorden of tokens te zien krijgt en dat mobiele clients rechtstreeks met de VM praten. Wardle’s route omzeilt die redenering aan de voorkant, op het apparaat zelf, waar de app haar eigen sessie beheert.

Meta had ten tijde van de publicatie niet inhoudelijk gereageerd op deze melding. Het bedrijf heeft wel een bug bounty die tot 300.000 dollar uitkeert voor kwalificerende rapporten. De Mac-app van Muse kan met toestemming bij bestanden, Berichten, Agenda en Notities, wat verklaart waarom de sessie van die app zo waardevol is voor een aanvaller.

Een AI-agent is geen app maar een sleutelbos. Wie hem koppelt aan zijn telefoon, agenda en mail, moet vooraf bedenken wat er gebeurt als iemand anders die bos in handen krijgt.

Leon Tindemans, AI-expert en Copilot- & ChatGPT-trainer, die bedrijven begeleidt met AI-trainingen van TTM Communicatie.

Wat betekent dit

Voor gebruikers van Muse op de Mac is het advies nuchter: geef de agent alleen toegang tot wat hij echt nodig heeft, en controleer in de instellingen welke apparaten aan het account hangen. Voor bedrijven is de les breder. Elke agent die je aan meerdere apparaten of diensten koppelt, verhoogt de waarde van één besmette laptop. De klassieke afweging, dit apparaat is besmet dus dit apparaat is verloren, gaat niet meer op. Dezelfde vraag speelde bij het eerste door een AI-agent veroorzaakte datalek in Spanje.

Meta wil later dit jaar een Muse Confidential VM uitbrengen, waarbij de hele machine versleuteld wordt met sleutels die alleen de gebruiker heeft. Dat lost de kern van Wardle’s scenario niet op, want de zwakke plek zit in de client op de Mac, niet in de cloud. Zolang het beheer van sessies op het apparaat zelf zwak is afgeschermd, blijft de agent de kortste weg naar alles wat eraan hangt.