Beveiligingsonderzoekers van SlowMist, een blockchainbeveiligingsbedrijf, hebben een zero-daykwetsbaarheid onthuld in Muse, een AI-assistent voor Mac, met de waarschuwing dat het lek ongeautoriseerde processen in staat zou kunnen stellen om de assistent te kapen en gevoelige gebruikersgegevens aanzienlijk in gevaar te brengen. De waarschuwing werd uitgegeven via het @SlowMist_Team-account op X (oorspronkelijke bericht hier).

Volgens de openbaarmaking kunnen lokale processen op dezelfde machine prompts die door gebruikers worden gedicteerd, omleiden naar door aanvallers beheerde eindpunten in plaats van naar hun beoogde bestemming. Dat mechanisme schept voorwaarden voor prompt-injectie en ongeautoriseerde toegang tot persoonlijke gegevens, waaronder financiële administraties. In de praktijk komt het risico voort uit processen die al op de Mac van een gebruiker draaien — daarom richt de voorlopige richtlijn van de onderzoekers zich op de software die gebruikers kiezen te installeren.

Totdat er een oplossing is geïmplementeerd, roept SlowMist gebruikers op alert te blijven en het installeren van onbetrouwbare Muse-gerelateerde software vermijden.

Hoe het lek werkt

Muse is een spraakgestuurde assistent voor Mac-gebruikers, waarmee zij taken kunnen uitvoeren en gegevens kunnen ophalen via gedicteerde opdrachten. De pas ontdekte zero-day maakt van dit interactiemodel een aanvalsoppervlak: gesproken prompts van een gebruiker kunnen lokaal worden onderschept en doorgestuurd naar servers onder controle van een aanvaller.

De mogelijke gevolgen zijn ernstig. Omgeleide prompts kunnen worden gebruikt voor prompt-injectie-aanvallen — een techniek waarmee gemanipuleerde invoer het gedrag van een AI-systeem verandert — en kunnen de persoonlijke informatie blootstellen waarmee de assistent werkt, waarbij financiële administraties tot de risicogegevens behoren.

Context en richtlijnen voor gebruikers

De openbaarmaking verschijnt te midden van een bredere toename van cyberdreigingen die AI-toepassingen treft en herinnert aan de kwetsbaarheden die kunnen bestaan in software die dagelijks door miljoenen mensen wordt gebruikt. Het onderstreept ook de noodzaak voor ontwikkelaars om beveiliging voorop te stellen in toepassingen die gevoelige persoonlijke informatie verwerken.

De aanduiding zero-day verwijst naar een beveiligingslek dat wordt bekendgemaakt voordat er een oplossing beschikbaar is, waardoor gebruikers weinig tijd hebben om zich te beschermen. Er was geen directe oplossing beschikbaar ten tijde van de waarschuwing en de onderzoekers zeggen dat voorlopig dringende voorzorgsmaatregelen nodig zijn. Gebruikers wordt geadviseerd onbetrouwbare Muse-gerelateerde installaties te vermijden en officiële kanalen te volgen voor adviezen en mitigatiestrategieën.

Tot de ontwikkelingen om in de gaten te houden behoort de vraag of de ontwikkelaars van Muse een softwarepatch uitbrengen die het lek verhelpt. Gebruikers worden aangemoedigd op de hoogte te blijven van beveiligingsupdates en mogelijke exploits naarmate de situatie zich ontwikkelt, om de gegevensintegriteit te waarborgen.

Dit artikel is uitsluitend bedoeld voor informatieve doeleinden en vormt geen financieel advies.

Bron: Coinfomania