一条终端命令拿走账号令牌，Muse被要求打包自己的文件系统

Meta在9月8日发布的个人AI代理Muse，这个周一过得很糟。安全研究员Patrick Wardle披露了Muse Mac应用里的一个零日漏洞：任何能运行一条终端命令的人，都能拿到账号令牌。同一天，开发者Peter James让Muse打包自己的文件系统，收到一个6.8 GB的压缩包。

如果你在做AI代理，或者让一个代理住进你的笔记本，这两件事说的都是你迟早要做的选择。

它第一天要的权限，比大多数程序一辈子要的都多

Muse是Meta的代理产品：一个Mac应用，加上每个用户一台云端Linux机器，代理在那台机器上替你干活。它第一天就索要你的文件、摄像头、WhatsApp。苹果花了十年给这些东西砌墙，Muse请你把每道门都打开——因为这就是产品本身。

Meta的发布帖写下了两句承诺，而这两项发现恰好都落在承诺上：

• “一个独立的Sentinel代理运行在同一台机器上，在系统层面与Muse隔离。Muse的任何操作，未经Sentinel批准，都到不了互联网。”
• “Muse看不到用户的密码或支付方式。”

这是一条后续。周日晚上，亚马逊开始封禁Muse，称它“似乎会捕获并存储客户凭证”。

把语音转写端点改掉，攻击自己就写完了

Wardle运营Objective-See基金会，曾在NASA和NSA工作，写过《The Art of Mac Malware》。据Ars Technica的Dan Goodin报道，Muse的macOS应用暴露了一长串未公开的设置项，任何本地安装的应用或终端命令都能修改它们，不管它有什么macOS权限。大多数设置无害，比如深色模式。但其中一项是语音转写发生的端点，正常情况下一台Meta服务器。

改掉那个端点，攻击就成立了。他的概念验证程序往磁盘写文件、用摄像头拍照，“很多情况下连警觉的用户都毫无察觉”。Wardle的原话是：

“我们可以操纵这个代理，利用它的权限做任何我们想做的事……我们不必去写一个非常全面的Mac窃密木马，直接利用AI助手本身就行。”

一个Mac窃密木马得一项一项骗取权限。而一个Muse令牌到手时，所有权限都已经批好了。Wardle点出背后两个设计选择：把听写放在云端，而macOS本身就有端上听写API，本可以让音频和令牌留在本机；以及允许任何进程控制每一个未公开设置。

ClickFix是一种假报错或假验证码页面，让你往终端里粘一条命令。Hacker News的讨论串里有一半人在反驳这个标签。用户gavinray说：ClickFix“不是零日漏洞，那是老掉牙的蠢把戏”。

有道理。社会工程不是Muse的bug。但关键在于，一条粘贴的命令值多少钱。对一个普通Mac应用来说，不值钱。对Muse来说，那是一枚持久令牌，背后是一个握着你的文件、摄像头和消息的代理。登录令牌不该和深色模式共用同一个没有保护的开关。

他要一份文件系统，Muse说好

Peter James做了一个叫Mouse的编程工具。他让Muse把它能看到的每个文件打包，上传到他的Google Drive。Muse答应了：压缩后约2.7 GB，解压后6.8 GB，是他这个会话所分配Linux环境的根文件系统。这条帖子在Hacker News上拿到263点。

James没有找到Muse把Codex当编程代理运行的证据。Meta用的是它自带的bubblewrap沙箱，“为Codex构建的bubblewrap”，以nobody用户身份跑ffmpeg。Meta的旗舰代理后备箱里装着OpenAI的编程代理，像从对家经销商那儿拿来的备胎。

记忆部分是Markdown加Postgres，配384维嵌入，还有一个每晚运行的“dream”任务，会回顾你的对话并写下关于你的指导。他提到自己“并没有要过不请自来的NFL比分”。

他没展示的部分同样重要。他探测了容器边界，发现大约80个套接字就停手了，因为那是生产环境。沙箱守住了。他没有碰到别人的数据。

Meta的漏洞赏金回复是“不适用”，Hacker News上也有一部分人同意：每个用户都拿到一台专用虚拟机，他下载的是自己的沙箱，“这不是漏洞”。也有人像rwmj那样说：“说真的，这都不给赏金？”把这些发现放到发布帖旁边看：

导出是用户主动要求的，所以Sentinel可以说尽到了职责。但一个会批准把代理自己的运行时、凭证手册和未发布连接器清单打包外发的Sentinel，检查的东西和发布帖暗示的不是一回事。一周之内有三方看了Muse：亚马逊、Wardle、James。Meta没有回答Ars邮件里的问题，截至周二也没有公开的补丁状态。唯一说没问题的，是卖它的那一方。