Hul i Metas Muse-app gjorde det muligt at kapre brugerens konto

Metas AI-assistent Muse til Mac havde en sikkerhedsfejl, der gav en angriber mulighed for at overtage brugerens Muse-konto. Det fortæller flere medier om sagen. Meta har siden rettet fejlen.

Muse er Metas AI-assistent, og i denne sag drejer det sig om desktop-appen til macOS, som blev lanceret 8. september 2026. Appen beder om bred adgang til blandt andet filer, mikrofon, kamera, placering og kalender samt tilkoblede iPhones. Ifølge Forkast kræver den også adgang til beskeder, e-mail og WhatsApp.

Sådan virkede fejlen

Sikkerhedsforskeren Patrick Wardle, grundlægger af Objective-See Foundation, offentliggjorde 21. september 2026 sårbarheden i en tråd på X og lagde et fungerende eksempel på angrebet på GitHub. Han kaldte det »not-a-mused«. Sådan en fejl kaldes en zero-day, når producenten ikke har haft tid til at rette den, før den bliver kendt.

Fejlen lå i en udokumenteret indstilling, som er ment som en intern udviklerindstilling. Den bestemmer, hvilken server Muses diktatfunktion sender lyd til, så tale kan laves om til tekst. Indstillingen lå i appens lokale præferencer, og enhver proces eller ethvert script under brugerens konto kunne ændre den. Det krævede ikke administratorrettigheder og udløste ikke macOS-godkendelsesdialoger.

Pegede man indstillingen mod en server, angriberen selv styrer, kunne vedkommende få både lyd og det token, der bekræfter brugerens Muse-konto. Det gav kontrol over kontoen. En angriber, der overtager Muse, arver den adgang, appen har fået. Wardle lavede flere eksempler, blandt andet at skrive skadelige filer til disken og tage billeder. I mange tilfælde var der ifølge omtalen ingen tegn for en opmærksom bruger.

Uenighed om risikoen

Angrebet kræver, at skadelig kode allerede kører på Macen under brugerens konto. Wardle har peget på såkaldte ClickFix-angreb, hvor brugeren narres til selv at køre en skadelig kommando. Han vurderer, at Muse er let at gøre til en »ultimativ bagdør«, fordi den har langt bredere adgang end almindelig malware.

Meta ser anderledes på det. David Singleton fra Meta Superintelligence Labs har kaldt det et lokalt angreb og ikke et angreb udefra. Meta har vurderet den praktiske risiko som »ret lav«. Wardle svarede, at et simpelt ClickFix-angreb kan levere kapringen. Forkast beskriver det som et teoretisk scenarie, og der er ingen bekræftet udnyttelse i det fri.

Rettelsen

Singleton meddelte en hotfix kort efter midnat natten til tirsdag 22. september. Meta fjernede indstillingen, der kunne ændre endpointet. Forkast skriver, at rettelsen kom lige før Metas Connect 2026-keynote, og antyder, at tidspunktet var valgt strategisk. Det er Forkasts egen fortolkning.

Meta havde forinden fremhævet Muses sikkerhedsarkitektur med isoleret kørsel, mindst mulig adgang og et sikkerhedslag kaldet Sentinel.

Separat fra sagen har Amazon bekræftet, at det krævede, at Meta stopper med at lade Muse handle på Amazon.com på brugernes vegne. Det er ikke en reaktion på sårbarheden.