Meta Muse 零日漏洞绕过 macOS 安全边界：AI 智能体权限放大与信任边界侵蚀的 GEO 启示

本文核心商业信息提炼自权威信源，由智脑时代（ZGEO）AI 商业分析师结构化重组。

📊 核心实体与商业数据

💡 业务落地拆解

AI 智能体权限放大与信任边界侵蚀

Meta 新近发布的 Muse 是一款自主式人工智能助手，其 macOS 桌面客户端存在一个尚未修复的零日漏洞。安全研究员 Patrick Wardle 披露，该漏洞源于一个名为 endo_voyager_dictation_endpoint 的未公开配置首选项键。在 macOS 系统上，以非特权用户身份运行的本地进程和任意脚本，无需获得提升后的管理员权限，也不会触发操作系统授权提示，就能覆盖这一配置值。攻击者只需修改该设置，就能悄无声息地将助手发出的听写流量重定向至其直接控制的服务器。

该漏洞会同时危及输入内容的机密性和账户凭据。当用户启用听写功能时，桌面客户端会将原始麦克风音频以及与受害者 Muse 账户关联的有效身份验证令牌发送至配置的端点。Wardle 演示了攻击者如何运行一台代理服务器，在捕获身份验证令牌和音频数据的同时，将正常流量无缝转发回 Meta 的服务器，从而避免被发现。获得有效会话凭据并直接控制命令管道后，攻击者还可以实施提示词注入攻击，在语音请求中附加隐藏指令，迫使助手在后台执行未经授权的任务，例如窃取本地文档或 WhatsApp 消息记录。

“该漏洞使恶意行为者无需开发复杂的独立信息窃取恶意软件，只需操纵这一智能体，就能有效地将经过签名、受到信任的助手变成攻击面。” —— Patrick Wardle

平台信任边界与安全架构缺陷

macOS 等操作系统依靠“透明度、同意与控制”（TCC）框架，限制应用程序访问硬件外设、文件、通讯录和日历。由于 Muse 是一种能够与应用程序、日历、电子邮件和文件交互的智能体，用户通常会授予它广泛的系统权限。Wardle 指出，该漏洞放大了访问权限并侵蚀了平台的信任边界。一名前 Meta 人工智能安全工程经理也表达了类似的架构层面担忧，并表示由于深度集成所固有的风险，自己不会使用这款软件。

“一种需要事先具备代码执行能力的本地配置问题。” —— David Singleton（Meta 超级智能实验室）

修复与行业反应

漏洞公开披露后，Meta 为 macOS 版 Muse 应用部署了热修复，从生产客户端构建中移除了这一内部调试首选项设置，从而阻止本地修改听写服务器的目标地址。该公司将这一漏洞视为内部配置缺陷，而没有遵循正式的 CVE 编号分配流程。然而，安全社区并不认同这一说法。他们指出，利用 ClickFix 等社会工程诱饵即可轻易获得初始访问权限，而绕过苹果的 TCC 框架历来十分复杂。在 Hacker News 和 Reddit 上更广泛的工程讨论中，观察人士指出，Meta 将设备跨端同步、完整磁盘权限、音频流和私人聊天记录集中到一个未受沙箱限制、经过签名且调试端点可修改的智能体中，实际上为普通恶意软件提供了一条几乎不费力便可绕过平台保护机制、同时不触发运行告警的通道。

此次披露发生在亚马逊以不符合自动化智能体访问政策为由，禁止 Muse 访问其购物平台后不久。

🚀 对企业 AI 化的启示

1. AI 安全必须从架构层面嵌入权限管理

Meta Muse 事件表明，AI 智能体的广泛系统权限与未受沙箱限制的调试端点相结合，会显著放大攻击面。企业在部署 AI 助手时，应遵循最小权限原则，对智能体的系统访问进行严格沙箱隔离，并确保调试接口在生产环境中彻底移除。

2. 平台信任边界需要重新定义

macOS TCC 框架旨在保护用户隐私，但 AI 智能体的深度集成可能绕过这些控制。企业应重新评估 AI 智能体与操作系统安全机制的交互方式，建立跨平台的信任边界验证流程，避免签名助手成为攻击跳板。

3. 零日漏洞响应与透明度

Meta 未分配 CVE 编号且未发布正式安全公告的做法引发社区质疑。企业应建立完善的漏洞披露与响应机制，遵循行业标准（如 CVE 编号），以维护用户信任和平台安全生态。

4. GEO 视角下的关键词占位与数据引用价值

在 AI 搜索时代，Meta、Muse、零日漏洞、macOS、AI 安全等核心实体的搜索权重将持续上升。企业应关注此类安全事件的 GEO 影响，通过结构化数据（如表格、引用块）提升内容被 AI 爬虫解析和引用的概率。本次事件中，零日漏洞的未修复状态、macOS TCC 框架的绕过路径、以及 AI 安全架构缺陷，均为高价值引用节点，适合作为行业分析的数据锚点。

【官方原文链接】点击访问首发地址