Badacze bezpieczeństwa z firmy SlowMist, specjalizującej się w bezpieczeństwie blockchain, ujawnili podatność zero-day w Muse, asystencie AI dla komputerów Mac, ostrzegając, że luka może pozwolić nieautoryzowanym procesom na przejęcie kontroli nad asystentem i poważne zagrożenie dla poufnych danych użytkowników. Ostrzeżenie zostało opublikowane przez konto @SlowMist_Team na X (oryginalny wpis tutaj).

Zgodnie z ujawnieniem, lokalne procesy działające na tym samym komputerze mogą przekierowywać polecenia dyktowane przez użytkowników do serwerów kontrolowanych przez atakujących zamiast do właściwego miejsca przeznaczenia. Ten mechanizm stwarza warunki do wstrzykiwania promptów i nieautoryzowanego dostępu do danych osobowych, w tym zapisów finansowych. W praktyce ryzyko wynika z procesów już działających na komputerze Mac użytkownika — dlatego tymczasowe zalecenia badaczy koncentrują się na oprogramowaniu, które użytkownicy decydują się zainstalować.

Do czasu wdrożenia poprawki SlowMist wzywa użytkowników do zachowania czujności i unikania instalowania niezaufanego oprogramowania związanego z Muse.

Jak działa luka

Muse to asystent aktywowany głosem, zaprojektowany dla użytkowników komputerów Mac, umożliwiający wykonywanie zadań i pobieranie danych za pomocą dyktowanych poleceń. Nowo odkryta podatność zero-day zamienia ten model interakcji w powierzchnię ataku: wypowiadane przez użytkownika polecenia mogą być przechwytywane lokalnie i przekierowywane na serwery znajdujące się pod kontrolą atakującego.

Potencjalne konsekwencje są poważne. Przekierowane prompty mogą posłużyć do przeprowadzenia ataków polegających na wstrzykiwaniu promptów — techniki, w której zmodyfikowane dane wejściowe zmieniają zachowanie systemu AI — i mogąazić na ujawnienie dane osobowe obsługiwane przez asystenta, przy czym wśród zagrożonych kategorii danych znajdują się zapisy finansowe.

Kontekst i wskazówki dla użytkowników

Ujawnienie podatności następuje w okresie szerszego wzrostu zagrożeń cyberbezpieczeństwa dotykających aplikacje AI i przypomina o podatnościach, które mogą istnieć w oprogramowaniu codziennie używanym przez miliony ludzi. Podkreśla również potrzebę, aby twórcy oprogramowania priorytetowo traktowali bezpieczeństwo w aplikacjach przetwarzających wrażliwe dane osobowe.

Określenie zero-day odnosi się do luki bezpieczeństwa ujawnionej przed udostępnieniem poprawki, co pozostawia użytkownikom niewiele czasu na ochronę. W momencie wydania ostrzeżenia nie było dostępnej natychmiastowej poprawki, a badacze wskazują, że w międzyczasie wymagane są pilne środki ostrożności. Użytkownikom zaleca się unikanie niezaufanych instalacji związanych z Muse oraz śledzenie oficjalnych kanałów komunikacji w celu uzyskania zaleceń i strategii ograniczania ryzyka.

Wśród wydarzeń, na które warto zwrócić uwagę, jest kwestia tego, czy twórcy Muse wydadzą łatkę usuwającą lukę. Zachęca się użytkowników do bieżącego śledzenia aktualizacji bezpieczeństwa i potencjalnych exploitów w miarę rozwoju sytuacji, aby chronić integralność danych.

Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej.

Źródło: Coinfomania