Meta đã phát hành bản vá khẩn cấp cho ứng dụng Muse trên macOS sau khi một lỗ hổng zero‑day được nhà nghiên cứu bảo mật Patrick Wardle công bố. Lỗ hổng này cho phép kẻ tấn công chạy mã cục bộ và chuyển hướng quá trình chuyển đổi giọng nói từ máy chủ của Meta sang endpoint do họ kiểm soát, từ đó truy cập vào tài khoản Muse của người dùng.
Thiết kế của Muse đã để lại một cài đặt chưa được tài liệu hoá, cho phép bất kỳ ứng dụng nào điều khiển toàn bộ các thiết lập này. Wardle đã chứng minh rằng kẻ tấn công có thể chụp ảnh màn hình, ghi file độc hại lên đĩa và thực hiện các hành động mà không thông báo cho người dùng. Điều này cho thấy quyền hạn của AI agent có thể bị lạm dụng để thực hiện các hoạt động độc hại.
Meta phản hồi nhanh chóng, phát hành hotfix chỉ trong vài giờ sau khi báo cáo của Ars Technica được công bố. Đại diện David Singleton nhấn mạnh đây là một cuộc tấn công “local privilege escalation”, yêu cầu mã độc đã chạy trên máy của người dùng, do đó rủi ro thực tế cho người dùng Muse là thấp.
Trong bối cảnh Muse đang cạnh tranh với các đối thủ AI, Amazon đã chặn Muse truy cập nền tảng thương mại điện tử và Meta vẫn đang cố gắng giành lại thị phần. Trong 12 ngày đầu, lượt tải ứng dụng di động Muse đã vượt qua mức tải của ChatGPT tại Mỹ và Canada, đồng thời cổ phiếu Meta tăng 11%.
Với cộng đồng AI Việt Nam, sự việc này nhắc nhở rằng bảo mật phải được đặt lên hàng đầu ngay từ giai đoạn thiết kế, đặc biệt khi AI agent ngày càng được tích hợp sâu vào các thiết bị cá nhân.
Nguồn: The Verge — Biên dịch & tổng hợp: danhbaai.com