Sıfır gün açığı yerel uygulamalara Meta'nın Muse'u tamamen kontrol etme imkânı verir; teardown ise runtime'ını ifşa ediyor

macOS izinlerini atlayan bir sıfır gün açığı

Meta'nın yapay zekâ asistanı Muse, birbirinden yalnızca birkaç gün arayla iki rahatsız edici ifşayla karşı karşıya. Ars Technica'ya göre, bir sıfır gün açığı, yerel olarak kurulu herhangi bir uygulamanın veya terminal komutunun kullanıcının Muse hesabının tamamını ele geçirmesine imkân tanıyor — bu sırada CEO Mark Zuckerberg, asistanı baştan itibaren gizlilik ve güvenlik odaklı mimarisiyle yoğun şekilde tanıtmıştı.

Birkaç hafta önce tanıtılan Muse; randevu alıyor, formları dolduruyor, müşteri hizmetlerini yürütüyor, satın alma yapıyor, görsel üretiyor, belgeler oluşturuyor ve kullanıcının WhatsApp, e-posta, takvim ve sosyal medya hesaplarına bağlanıyor. Bir görev için var olmayan bir araca ihtiyaç duyulduğunda, Muse onu anında kendisi oluşturuyor. Ars Technica bir Windows sürümü olmadığını belirtiyor; macOS uygulaması hem hizmet kimlik doğrulaması hem de diske dosya yazma, mikrofon ve kameraya erişme, konum ve takvimleri izleme dahil geniş kapsamlı işletim sistemi izinleri gerektiriyor.

Güvenlik açığı, Meta mühendislerinin ayarlar sistemini tasarlama biçiminde yatıyor. macOS izinleri ne olursa olsun, herhangi bir yerel süreç belgelenmemiş uzun bir ayar listesini değiştirebiliyor. Bunların çoğu önemsiz, örneğin koyu mod. Ancak biri, transkripsiyonun gönderildiği endpoint'i kontrol ediyor. Normalde bu bir Meta sunucusudur; ancak bir saldırgan bunu kendi altyapısına yönlendirip kurbanı Muse hesabına kimlik doğrulayan token'ı ele geçirebiliyor. Ars Technica, bunun Apple'ın yıllar içinde inşa ettiği izin savunmalarını fiilen geçersiz kıldığını savunuyor; ayrıca Amazon'un Muse'u sitesinden engellemeye başladığını bildirdi.

Muse kendi runtime'ını dışa aktardı

22 Eylül'de mouse.dev'de yayımlanan bir teardown, farklı türde bir sızıntıyı anlatıyor. Araştırmacı, Muse'tan görebildiği dosyaları arşivlemesini ve bunları Google Drive'a göndermesini istedi. Muse bunu yaptı ve yaklaşık 2,7 GB sıkıştırılmış, 6,8 GB açılmış halde çıktı üretti — bu da oturuma atanmış Linux ortamının kök dosya sistemi gibi görünüyordu; Ubuntu sistem dosyaları, iç dokümantasyon, entegrasyon kodu, uygulama şablonları, bellek dosyaları, agent logları ve SSH anahtar dosyaları dahil.

Araştırmacı bulguları Meta'nın bug bounty programı üzerinden bildirdi ve arşivi, anahtarları veya oturum loglarını yayımlamıyor. SSH anahtarlarının etkin olup olmadığı ya da hangi erişimleri sağlayabileceği tespit edilemedi; araştırmacı, sohbetteki bir iddiaya rağmen bir container kaçışı göstermedi.

Hatch'in içinde

mouse.dev'ye göre "Hatch", Meta'nın Muse için kullandığı iç isim ve runtime boyunca karşımıza çıkıyor. Kullanıcı başına ortam; kök dosya sistemini oluşturmak, systemd-nspawn ile başlatmak ve başlangıç hook'ları ile daemon'ları çalıştırmak için scriptler içeren bir runtime-cell dizininden oluşturuluyor.

Agent'ın home dizininde SOUL.md, IDENTITY.md, USER.md, MEMORY.md, AGENTS.md ve TOOLS.md adlı dosyalar ile JSONL izlerini içeren 113 alt agent kaydı barındıran bir dizin bulunuyor. Yaklaşık 20 Markdown belgesi; tarayıcı kullanımını, bağlayıcıları, ödemeleri, kimlik bilgilerini, veri işlemeyi, sesi, hedefleri ve zamanlamayı kapsıyor; ayrıca WhatsApp, eşlenmiş bir Mac, Tailscale ve Home Link adlı bir cihaz entegrasyonu için ayrı kılavuzlar var. Yaklaşık 68 beceri dizini, talimat dosyalarını komut satırı araçlarıyla eşleştiriyor; Google Workspace, Meta'nın sosyal uygulamaları, Outlook, seyahat, alışveriş, sağlık hizmetleri, ev cihazları ve medya üretimi alanlarını kapsıyor. İki yapılandırma dosyası ayrıca Slack, Dropbox, Polymarket, Canva, Klaviyo ve dahili bir Facebook CLI dahil henüz yayımlanmamış bağlayıcıları listeliyor.

En büyük kod projesi olan Spaces adlı framework, uygulama oluşturuyor ve sunuyor; React istemcisi, Drizzle SQLite şeması, migration'lar ve Bun yapılandırması içeren bir TypeScript starter'ı barındırıyor. Ayrı builder'lar belgeler, PDF'ler, sunumlar ve elektronik tablolar üretiyor.

İlginç bir ayrıntı: İmajda Codex CLI 0.149.0 sürümü bulunuyor, ancak mouse.dev Muse'un bunu bir kodlama agent'ı olarak kullandığına dair bir kanıt bulamadı. Meta görünüşe göre yalnızca birlikte gelen bubblewrap sandbox'ını kullanıyor; bu sandbox, video işleme ve küçük resimler için ffmpeg ve ffprobe işlerini — nobody kullanıcısı olarak, ağ erişimi veya ek ayrıcalıklar olmadan — kısıtlıyor.

Muse nasıl hatırlıyor

Bellek düz Markdown halinde yaşıyor: gerçekler, tercihler ve taahhütlerden oluşan kısa bir sayfa, artı tarihli günlük dosyalar. Saatlik bir arka plan görevi, yeni iddiaları orijinal mesajlarla karşılaştırıp alıntıları ve mesaj kimliklerini kaydediyor. Bir Postgres katmanı dosyaları aranabilir hale getiriyor; metin parçalarını, 384 boyutlu embedding'leri ve kanıt, güven ve durum takibi yapan bir claims tablosunu saklıyor; daha yeni iddialar eskilerinin yerini alabiliyor. Gecelik bir "rüya" görevi son konuşmaları gözden geçirip gelecek oturumlar için yönergeler yazıyor; bir sentez dosyası bunları kalıcı talimatlara dönüştürüyor. Unutma iş akışı, geri çekilecek iddiaları sahneye koyuyor, bağlantılı materyali kaldırıyor ve indeksi yeniden oluşturuyor.

Neden önemli

WhatsApp, e-posta, takvim ve ödeme kimlik bilgilerini elinde tutan bir asistan değerli bir hedef ve bu iki bulgu, savunmalarının farklı katmanlarda başarısız olduğunu gösteriyor: biri işletim sisteminin izin sınırında, diğeri konuşma sınırında — basit bir talep, agent'ın kendi iç yapısını dışarı sızdırması için yeterliydi. Detaylı bellek alt sistemi ayrıca bu agent'ların neleri sakladığı ve ne kadar güvenilir unutabildikleri konusunda sorular doğuruyor. İronik olan şu ki, bu dışa aktarım, üretimde kullanılan bir tüketici agent'ının gerçekte nasıl inşa edildiğine dair şimdiye kadarki en net kamusal tabloyu sunuyor.