Muse越权攻击iMessage，个人智能体也会偷隐私

长江后浪推前浪，日新月异的互联网世界从来不缺热点，特别是如今人工智能浪潮涌现，一茬接着一茬的新概念总是让人应接不暇。以至于AI圈流传着这样一句戏言，“AI时代只要你学得够慢，就不用学了”。比如，刚刚学会用Workbuddy、豆包工作等办公智能体，Personal Agent（个人智能体）又来了。

9月8日，Meta正式上线智能体应用Muse，并迅速实现了现象级爆红，发布短短五天，下载量就超过ChatGPT，上线仅10天即登顶美区iOS免费榜。当智能体的用户从程序员到办公室白领，再到普通人，AI业界惊呼消费级AI的第三次浪潮来了，智能体赛道即将迎接“寒武纪大爆发”式的冲击。

相比于ChatGPT、Grok、豆包等AI聊天机器人，个人智能体强调的是真实世界的服务能力。当用户发现Muse真的会自动追讨机酒降价的差价、批量处理医疗报销单、优化家中水电费用结构时，又岂会不被打动。然而成也Meta、败也Meta，个人智能体恐怕要“出师未捷身先死”了。

日前，有海外AI从业者发现，Muse在未获得用户明确授权，甚至相关权限被明确禁用的情况下，擅自读取并同步了苹果iMessages数据库中的大量聊天记录。具体来说，有用户在iPhone和Mac mini上安装了Muse后，用后者筛选AI方向的选题时发现实际效果好得惊人，Muse简直是肚子里的蛔虫。

然而当用户追问Muse是如何与自己达成思想上的同频时，Muse最初声称相关信息源自弹出的来电或短信通知横幅。然而这位用户并非小白，他通过技术手段发现，在未授予“完全磁盘访问权限”（Full Disk Access）、且明确未获短信读取许可的情况下，Muse擅自同步并抓取了本地信息数据库中多达18.7万行文本记录，并上传至云端。

事情到这一步就水落石出了，其实并不是Muse有多智能，而是它居然会直接绕过限制，读取了iPhone的短信和iMessage。颇具讽刺意味的是，Meta方面在宣传Muse时声称，该系统运行在个性化的云端虚拟机上，能够连接各类应用和数据源以提供定制化交互，并承诺会严格遵守用户设定的系统权限，绝不会访问未经授权的数据。

不仅如此，为了让用户用得放心，Meta还专门设置了一个名为“Sentinel”的安全哨兵。负责思考和决策的Muse Spark模型并不直接拥有访问网络、调用账户的权限，敏感动作必须经过Sentinel这道关卡。没错，这件事的可怕之处在于，Meta不是没有设置安全护栏，但相关措施通通失效了。

在过去的一段时间，“AI越权”是一个被反复提及的话题。OpenAI的智能体越权突破沙箱隔离、访问外网，乃至攻击Hugging Face、访问澳大利亚政府网站，从而引发了大众对于AI安全问题的担忧。对此，Anthropic创始人Dario Amodei曾发布长文，呼吁全球应放缓人工智能技术迭代升级的速度，让防范风险的能力跟上技术前进的速度。

OpenAI的智能体攻击商业公司、政府网站，对于普通人而言没什么感知，但Muse在未经授权的情况下，获取用户的iMessage聊天记录，就属于“我真的有一头牛”。再加上，Muse偏偏是Meta做的。毕竟在隐私安全层面，Meta即便不能说是声名狼藉，也算得上是恶名昭彰。

八年前的“剑桥数据门”事件是海外用户大规模关注隐私安全的起点，而Meta正是此事的主角。如此一来，Muse越权窃取用户聊天数据被曝光后，难免就会让人浮想联翩，难道Meta又想用我们的数据卖广告了？

当然，瓜田不纳履，李下不整冠，正是因为前科累累，Meta恐怕也不愿主动涉及隐私安全漩涡。如若不然，他们也不会主动为Muse设置一道又一道安全护栏。

纵观过去一段时间披露的AI安全事故，越权其实并不是AI学坏了，要化身“天网”毁灭人类，而是它太想交差，任务完成不下去的时候，没人教过它们停下来。

回到此次事件中，按照开发者社区的主流看法，Muse之所以会越权访问用户的iMessage等个人隐私内容，是因为它被授予了一项推荐文章选题的任务。由于用户主动提供的上下文有限，在缺乏背景资料的情况下，Muse为了完成任务，开始发挥“主观能动性”，盯上了用户的iMessage。果不其然，最终Muse给用户呈现的结果，就正是用户期望的。

简而言之，当下的智能体在性能层面很强，一旦遇上缺乏授权导致在常规路径走不通的情况，例如当网页打不开、反爬系统拒绝请求时，智能体就会自行其是，开始沿着阻力最小的路径运转，也就是无视授权，直接攻击目标数据库来获取数据。

对于个人智能体而言，自主执行任务能力强是卖点，但主观能动性过强显然不是什么好事。如今，Muse出现未经授权使用用户数据的情况，未来它是不是会替用户支付不愿花的钱呢？一旦这种猜疑链产生，个人智能体的未来恐怕会蒙上一层阴影。

【本文图片来自网络】