Sicherheitsforscher von SlowMist, einem Blockchain-Sicherheitsunternehmen, haben eine Zero-Day-Schwachstelle in Muse bekannt gegeben, einem KI-Assistenten für Mac. Sie warnen, dass die Schwachstelle es unbefugten Prozessen ermöglichen könnte, den Assistenten zu übernehmen und sensible Nutzerdaten erheblich zu gefährden. Die Warnung wurde über das Konto @SlowMist_Team auf X veröffentlicht (Originalbeitrag hier).

Laut der Meldung können lokale Prozesse auf demselben Rechner vom Nutzer diktierte Eingaben an von Angreifern kontrollierte Endpunkte umleiten, statt an das vorgesehene Ziel. Dieser Mechanismus schafft die Voraussetzungen für Prompt Injection und unbefugten Zugriff auf personenbezogene Daten, darunter auch Finanzunterlagen. In der Praxis geht das Risiko von Prozessen aus, die bereits auf dem Mac des Nutzers laufen – weshalb sich die vorläufigen Empfehlungen der Forscher auf die Software konzentrieren, die Nutzer installieren.

Bis ein Fix verfügbar ist, appelliert SlowMist an die Nutzer, wachsam zu bleiben und keine nicht vertrauenswürdige Muse-bezogene Software zu installieren.

So funktioniert die Schwachstelle

Muse ist ein sprachgesteuerter Assistent für Mac-Nutzer, der Aufgaben und Datenabrufe über diktierte Befehle ermöglicht. Die neu entdeckte Zero-Day-Schwachstelle macht dieses Interaktionsmodell zur Angriffs: gesprochene Eingaben eines Nutzers können lokal abgefangen und an Server unter der Kontrolle eines Angreifers umgeleitet werden.

Die möglichen Folgen sind gravierend. Umgeleitete Eingaben können für Prompt-Injection-Angriffe missbraucht werden – eine Technik, bei der manipulierte Eingaben das Verhalten eines KI-Systems verändern – und könnten die personenbezogenen Informationen offengelegen, die der Assistent verarbeitet, wobei Finanzunterlagen zu den gefährdeten Datenkategorien zählen.

Einordnung und Hinweise für Nutzer

Die Meldung erfolgt vor dem Hintergrund eines allgemeinen Anstiegs von Cybersecurity-Bedrohungen, die KI-Anwendungen betreffen, und erinnert an die Schwachstellen, die in Software bestehen können, die Millionen täglich nutzen. Sie unterstreicht zudem, dass Entwickler die Sicherheit von Anwendungen priorisieren müssen, die sensible personenbezogene Daten verarbeiten.

Die Bezeichnung Zero-Day bezeichnet eine Sicherheitslücke, die offengelegt wird, bevor ein Fix verfügbar ist, sodass Nutzer kaum Zeit haben, sich zu schützen. Zum Zeitpunkt der Warnung war keine unmittelbare Lösung verfügbar, und die Forscher erklären, dass in der Zwischenzeit dringende Vorsichtsmaßnahmen erforderlich sind. Nutzern wird empfohlen, nicht vertrauenswürdige Muse-bezogene Installationen zu meiden und offizielle Kanäle auf Hinweise und Maßnahmen zur Schadensbegrenzung zu verfolgen.

Zu den zu beobachtenden Entwicklungen zählt, ob die Muse-Entwickler einen Software-Patch veröffentlichen, der die Schwachstelle behebt. Nutzer werden aufgefordert, sich über Sicherheitsupdates und mögliche Exploits auf dem Laufenden zu halten, während sich die Lage entwickelt, um die Datenintegrität zu schützen.

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanzberatung dar.

Quelle: Coinfomania