Meta紧急修复Muse零日漏洞，AI代理权限成新攻击面

Meta已为Muse macOS应用发布热修复，堵住一个可让攻击者控制AI代理的零日漏洞。

漏洞由安全研究员Patrick Wardle发现：Muse一项未公开的设置允许本机运行的代码把云端转写处理重定向到攻击者自己的端点，进而拿到Muse账户权限。Wardle的概念验证能通过Muse拍照、写入恶意文件，且多数情况下不提醒用户。

问题根源是设计：转写放在云端而非本地，且任何应用都能改动Muse的全部隐藏设置。Wardle说，攻击者不必自己写完整的Mac恶意软件，直接利用AI助手权限即可。

Meta的David Singleton称这是本地提权而非远程攻击，实际风险很低，但已在Ars Technica报道刊出后数小时内发布修复。