Meta Muse, la zero-day che trasforma l'AI in backdoor: l'attacco spiegato

Patrick Wardle, fondatore di Objective-See, ha pubblicato il 21 settembre 2026 la scoperta di una vulnerabilità zero-day nell'assistente AI Muse di Meta per macOS. Un'impostazione non documentata, endo_voyager_dictation_endpoint, consente a qualsiasi processo locale senza privilegi elevati di reindirizzare il traffico di dettatura verso server controllati dall'attaccante. La falla non richiede exploit remoto: basta malware già presente sulla macchina, o tecniche di ingegneria sociale come ClickFix, per trasformare l'AI agent più privilegiato dell'ecosistema Meta in un canale di accesso illimitato a file, account connessi e dispositivi collegati.

Il meccanismo: una chiave di preferenza che sfonda il confine di TCC

Il cuore tecnico della vulnerabilità risiede in come Muse gestisce la configurazione del proprio endpoint di dettatura. Su macOS, il sistema TCC (Transparency, Consent, and Control) verifica quale applicazione accede al microfono, ma non controlla dove quei dati vengano trasmessi successivamente. Wardle ha individuato che endo_voyager_dictation_endpoint è memorizzata in un file di preferenze senza protezione, modificabile da qualsiasi processo in esecuzione con i privilegi dell'utente loggato.

La modifica è immediata e non richiede password amministrativa. Una volta alterato l'endpoint, Muse invia audio e testo dettato al server dell'attaccante anziché a quello di Meta. L'attaccante riceve il contenuto dei prompt, può iniettare risposte manipolate, e — elemento critico — intercettare il token di sessione che autentica l'account Muse. Secondo la documentazione tecnica pubblicata da Wardle, questo token consente il controllo completo dell'assistente, con accesso alla cronologia delle chat e alla totalità delle funzioni esposte.

Il Proof-of-Concept pubblicato su GitHub con il nome not-a-mused implementa un sottoinsieme dei 50+ comandi che Muse espone attraverso la propria interfaccia locale. La cifra, citata dallo stesso Wardle nella descrizione del repository, indica la superficie di attacco estesa: non si tratta di una singola funzione compromessa, ma di un'architettura di comando amplificata da permessi cross-servizio.

La catena di attacco: dal processo locale al controllo cross-device

Wardle ha dimostrato che la compromissione non resta confinata al Mac. Con il token sottratto, l'attaccante può impartire comandi a Muse su qualsiasi dispositivo collegato all'account. Nella dimostrazione documentata da The Hacker News, questo ha incluso la richiesta di posizione geografica e la scansione Bluetooth su un iPhone accoppiato. Il passaggio da client macOS compromesso a dispositivo mobile controllato avviene attraverso l'infrastruttura di sincronizzazione di Meta, non tramite exploit aggiuntivi sul telefono.

Il vettore di ingresso iniziale rimane vincolato all'esecuzione locale di codice malevolo. Ars Technica specifica che la vulnerabilità non fornisce remote code execution: richiede malware preesistente o l'esecuzione di payload attraverso tecniche di ingegneria sociale come ClickFix. Questa distinzione è rilevante per la valutazione del rischio, ma non mitiga la gravità della falla. Un processo infetto con privilegi utente — lo standard per la stragrande maggioranza del malware consumer — dispone di tutti i requisiti per l'attacco.

"Possiamo manipolare l'agente e sfruttare i suoi privilegi per fare qualsiasi cosa vogliamo. Quindi invece di dover scrivere un malware complesso per macOS, possiamo semplicemente sfruttare l'assistente AI stesso."
— Patrick Wardle, via Ars Technica

La risposta di Meta: hotfix in 12 ore e una valutazione contestata

Meta ha rimosso l'impostazione endo_voyager_dictation_endpoint dalle build di produzione attraverso una hotfix rilasciata approssimativamente 12 ore dopo la pubblicazione dell'inchiesta di Ars Technica. CPO Magazine e The Verge confermano l'intervento, sebbene con formulazioni temporali leggermente diverse: il primo parla di hotfix "rilasciato", il secondo di patch "nelle ore successive" al report. Nessuna delle fonti documenta dettagli tecnici della correzione oltre la rimozione dell'impostazione.

David Singleton di Meta Superintelligence Labs ha caratterizzato la falla come "local privilege escalation attack, not a remote exploit", aggiungendo che "il rischio pratico per gli utenti dell'app Muse per Mac era quindi piuttosto basso". La valutazione è stata pubblicata da The Verge e contrasta con l'analisi di Wardle, che ha definito la tecnica "banale per trasformare Muse nella backdoor definitiva". La discrepanza riflette una divergenza strutturale nel modo di concepire la sicurezza degli agenti AI: Meta misura il rischio sulla base del vettore di ingresso, Wardle sul potenziale di amplificazione una volta ottenuto l'accesso locale.

Un elemento di contesto ulteriore emerge dalle condizioni di disclosure. Wardle non ha segnalato la vulnerabilità a Meta prima della pubblicazione, optando per la full disclosure per accelerare la correzione. Questa scelta, documentata da The Hacker News, solleva interrogativi sul funzionamento del programma bug bounty di Meta per Muse, che secondo i materiali ufficiali dell'azienda prevede ricompense fino a 300.000 dollari per flaw di sicurezza e fino a 130.000 dollari per tentativi di prompt injection con impatto su singolo utente. Nessuna fonte conferma se Meta intenda riconoscere una ricompensa nonostante l'assenza di report preliminare.

Il contesto commerciale e le frizioni con Amazon

La scoperta si inserisce in un momento di forte visibilità per Muse. Secondo The Verge, il titolo Meta ha registrato un rialzo dell'11 percento il lunedì successivo al lancio dell'assistente, indicando che il prodotto è percepito come strategico dall'analisi di mercato. Parallelamente, Amazon ha bloccato Muse dalla propria piattaforma prima della disclosure pubblica, citando violazione delle Condizioni d'Uso. Ars Technica riporta l'episodio senza chiarire se il blocco fosse informato specificamente della vulnerabilità in via riservata o rappresentasse una questione commerciale indipendente. Il dossier non risolve questa incertezza.

La tensione tra posizionamento marketing e realtà della superficie di attacco è emersa anche nelle dichiarazioni ufficiali di Meta. Il sito ai.meta.com descrive Muse come "costruito da zero per la privacy e la sicurezza" con architettura Secure VM, mentre il blog di ricerca dell'azienda dettaglia il sistema di permessi Sentinel e il concetto di "tainted egress" per limitare la fuoriuscita di dati sensibili. Nessuno di questi documenti pre-disclosure riconosce la falla individuata da Wardle o ne anticipa le dinamiche.

Cosa fare adesso

Per le organizzazioni che hanno distribuito Muse su endpoint macOS, le azioni documentate dalle fonti si limitano a quanto segue:

• Verificare che l'app Muse sia aggiornata alla build di produzione successiva al 21 settembre 2026, contenente la rimozione dell'impostazione endo_voyager_dictation_endpoint.
• Riesaminare i dispositivi iPhone e gli account connessi a Muse alla ricerca di attività anomale nel periodo antecedente alla hotfix, data la dimostrazione di abuso cross-device con token rubato.
• Valutare la revoca e la rigenerazione dei token di sessione Muse sui profili aziendali esposti, se la funzionalità è supportata dall'amministrazione dell'account.
• Integrare la presenza di agenti AI come Muse negli inventari di asset privilegiati, riconoscendo che le applicazioni firmate e approvate dall'utente possono ospitare configurazioni vulnerabili non rilevabili dai tradizionali strumenti di endpoint detection.

Perché ridefinire il least-privilege per gli agenti AI

La lezione del caso Muse va oltre la singola falla. L'architettura agentica — dove un'applicazione unifica accesso a decine di servizi e dispositivi attraverso un'interfaccia conversazionale — eredita e amplifica i gap di sicurezza tradizionali del sistema operativo. Il problema non è che macOS permetta a un processo utente di modificare un file di preferenze: è che questa capacità, banale e legittima in altri contesti, si traduca in controllo totale di un agente con permessi cross-servizio e cross-device.

Le difese perimetrali basate sulla reputazione dell'applicazione — firma digitale, notarizzazione, TCC per il microfono — non intercettano la manipolazione post-consenso. L'endpoint detection, configurato per segnalare processi sospetti, non rileva attività anomala quando il processo legittimo è proprio l'assistente AI firmato. Wardle ha dimostrato che l'attaccante non ha bisogno di sviluppare malware sofisticato: può delegare a Muse il lavoro di esfiltrazione, controllo e movimento laterale, sfruttando la fiducia che il sistema operativo e l'utente hanno concesso all'agente.

Per le security team, questo impone un cambio di registro. Il least-privilege non può più fermarsi all'utente umano o al servizio cloud: deve estendersi ai token, ai comandi esposti e alle capacità reattive di ogni agente AI distribuito. La superficie di attacco non è più la somma delle singole applicazioni connesse, ma il prodotto delle loro interazioni mediate da un'unica entità conversazionale. Il caso Muse è il primo esempio documentato su larga scala di come questa concentrazione di fiducia possa essere weaponizzata attraverso la configurazione più banale.

Fonti

• https://www.cpomagazine.com/cyber-security/meta-muse-ai-assistants-zero-day-vulnerability-could-enable-attackers-to-inject-malware/
• https://arstechnica.com/security/2026/09/muse-metas-extraordinarily-privileged-ai-assistant-has-a-serious-0-day/
• https://cybersecuritynews.com/metas-muse-ai-agent-0-day-vulnerability/
• https://tech-insider.org/meta-muse-zero-day-backdoor-vulnerability-2026/
• https://www.theverge.com/tech/998679/meta-muse-patch-zero-day-exploit-ai-agent
• https://www.malwarebytes.com/blog/bugs/2026/09/metas-muse-ai-assistant-has-a-zero-day-that-can-turn-it-into-a-mac-backdoor
• https://thehackernews.com/2026/09/one-hidden-meta-muse-setting-could-let.html
• https://github.com/pwardle/not-a-mused
• https://www.nowsecure.com/
• https://ai.meta.com/muse/
• https://research.meta.ai/blog/security-and-safety-for-ai-agents-our-approach-with-muse

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti