Личный ИИ-помощник Meta* под названием Muse оказался небезопасным ещё до выхода на рынок. Исследователь нашёл уязвимость, которая давала доступ к перепискам сотрудников компании с агентом и к их токенам авторизации.
За самую серьёзную ошибку Meta* заплатила $300 тыс., а общая сумма вознаграждений за найденные бреши в Muse составила около $1,2 млн.
Самую дорогую дыру заметили за 4 месяца до запуска сервиса 8 сентября 2026 года. Руководитель проекта Дэвид Синглтон рассказал в корпоративном блоге, что проблема возникла из-за проверки сетевых запросов.
Muse принимал специальный HTTP-заголовок от локального прокси за доказательство того, что запрос пришёл из доверенного источника. После смены сетевой конфигурации злоумышленник мог отправлять такой же заголовок снаружи и обходить авторизацию.
Атаку проверили на тестовых виртуальных машинах сотрудников Meta*, и исследователь смог прочитать переписку с помощником и получить токены доступа.
Компания временно отключила сервис, переработала проверку подлинности и отказалась от принципа, по которому обращения с локального компьютера считались безопасными. Подтверждений того, что так же добрались до данных обычных пользователей, не нашли.
Второй баг сидел в защите от внедрения вредоносных инструкций. Исследователь выяснил, что на веб-странице можно разместить текст, который подделывает сообщения внутреннего браузерного инструмента Muse.
Когда пользователь просил пересказать сайт, фальшивые сообщения могли заставить ИИ выполнить действия, которые защита должна была блокировать.
За демонстрацию Meta* выплатила $90 тыс. и усилила фильтрацию таких команд. После исправлений Muse в ходе внутренних тестов научился распознавать исходную атаку и около 100 её вариаций.
Промпт-инъекции остаются серьёзной проблемой для ИИ-агентов, ведь ИИ принимает посторонний текст за инструкцию и выполняет её. Атакующему даже не нужно напрямую общаться с помощником, достаточно спрятать вредоносные указания на странице, которую тот откроет по поручению владельца.
Третья ошибка касалась обработки одноразовых кодов из электронной почты. Muse должен автоматически прятать такие комбинации, чтобы они не попадали в ответы помощника, но исследователь обошёл фильтр с помощью хитрого форматирования письма. За находку Meta* тоже выплатила $90 тыс., отнесла проблему к более сложной цепочке возможных атак и поменяла правила обработки входящей почты. О массовой краже одноразовых паролей сведений нет.
В Android-приложении через встроенный браузер WebView вредоносная программа могла передать специальную ссылку компоненту с расширенными привилегиями. Обработчик проверял путь запрашиваемого ресурса, но не проверял подлинность домена, поэтому открывалась страница злоумышленника, которая могла вытащить данные авторизации. Исследователь получил за это $50 тыс., а Meta* исправила проверку адресов и ограничила доступ к секретной информации.
В механизме автоматического обновления версии для Mac нашли ошибку, которая позволяла атакующему с локальным доступом запускать код с полномочиями приложения, и Meta* заплатила за неё $1 тыс. Раньше в macOS-клиенте находили уязвимость нулевого дня, позволявшую локальной программе перехватывать голосовые запросы и управлять ИИ-агентом. Её тоже закрыли.
С апреля программа поиска уязвимостей Muse получила более 630 сообщений от исследователей, 64 из них признали обоснованными. Запуск персонального помощника, которому предстоит доверять почту, документы и учётные записи, обошёлся Meta* недёшево ещё до массового распространения продукта.
