背景
2026 年 9 月，資安研究人員 Patrick Wardle，同時也是 Objective-See 基金會創辦人，公開揭露了一個存在於 Meta 新推出的 Muse macOS 桌面用戶端中的零時差漏洞。零時差漏洞指的是在廠商接獲通報或被公開當下仍未修補的安全缺陷，攻擊者可利用修補空窗期發動攻擊。這項揭露特別引人注目，因為 Meta 執行長 Mark Zuckerberg 先前曾對外宣稱，這款自主式 AI 助理是從零開始、以隱私與安全為核心打造，但 Wardle 展示的攻擊路徑卻顯示，任何在本機以低權限執行的軟體或 shell 指令，都能直接挾持這個應用程式，藉此繞過 macOS 的標準安全邊界，並承接使用者先前授予助理的各項廣泛權限。
漏洞成因：可被任意改寫的除錯端點
問題的根源是一個未見於公開文件的組態偏好鍵 endo_voyager_dictation_endpoint。在正常運作下，這個參數指定了負責接收語音聽寫音訊、並回傳轉譯文字的雲端伺服器端點。也就是說，當使用者對 Muse 說話時，用戶端會把麥克風收到的原始音訊，連同受害者 Muse 帳號的合法認證權杖，一併送往這個設定所指向的位址。
關鍵在於，macOS 上的本機程序與任意腳本，即使只在使用者的低權限環境中執行，也能直接覆寫這個組態值，既不需要管理員權限，也不會觸發作業系統的授權提示。攻擊者只要把端點改成自己控制的伺服器，就能默默把助理的聽寫流量導向該伺服器，使用者完全無從察覺。
攻擊鏈與實際影響
Wardle 進一步示範了完整的攻擊手法。攻擊者可以架設一台代理伺服器，一邊攔截認證權杖與音訊資料，一邊把流量原封不動轉送回 Meta 的正式伺服器，讓聽寫功能看起來一切正常，藉此避開偵測。這代表受害者的語音輸入內容與帳號的有效憑證，會同時落入攻擊者手中。
更嚴重的是，攻擊者在取得有效的工作階段憑證並掌控指令管道後，還能發動提示注入攻擊，也就是在語音請求中附加隱藏指令，誘使助理執行未經授權的背景任務，例如外洩本機文件或 WhatsApp 的訊息紀錄。Wardle 釋出了名為 not-a-mused 的概念驗證攻擊程式，實際展示透過被挾持的助理執行多項指令的過程。
技術脈絡：權限放大與信任邊界的侵蝕
這個漏洞的技術意義在於權限放大，以及對平台信任邊界的侵蝕。macOS 仰賴 TCC 框架，全名為 Transparency, Consent, and Control，即透明度、同意與控制機制，來限制應用程式存取硬體週邊、檔案、通訊錄與行事曆等資源。由於 Muse 是一個能與應用程式、行事曆、電子郵件和檔案互動的代理程式，使用者通常會授予它相當廣泛的系統授權。
Wardle 指出，這個漏洞讓攻擊者不必自行開發複雜的獨立資訊竊取惡意軟體，只要操縱這個已簽署、受系統信任的助理，就能把它轉變為現成的攻擊面。一位前 Meta AI 安全工程經理也呼應了這類架構層面的疑慮，表示考慮到深度整合本身帶來的固有風險，他個人會避免使用這款軟體。
廠商回應與社群爭議
在公開揭露之後，Meta 對 macOS 版 Muse 部署了熱修復，做法是從正式版用戶端中移除這個內部除錯偏好設定，讓本機無法再修改聽寫伺服器的目的地。不過 Meta 並未發布正式的資安公告，也未與 CVE 編號機構協調，因此這個漏洞至今沒有官方的 CVE 編號。CVE 是業界通用的漏洞編號與揭露機制，缺少編號會讓企業與使用者難以系統性地追蹤與管理受影響的系統。
Meta Superintelligence Labs 的 David Singleton 將問題定調為本機組態問題，並主張發動攻擊的前提是攻擊者已先取得程式碼執行能力，工程團隊則以默默移除除錯偏好鍵的方式處理。但資安社群並不接受這個說法。安全專業人士在相關討論中指出，ClickFix 這類社交工程誘餌讓初始入侵變得輕而易舉，相較之下，繞過 Apple 的 TCC 框架才是傳統上真正困難的部分，因此把問題簡化為單純的本機組態缺陷，低估了實際風險。
在 Hacker News 與 Reddit 上的工程討論中，也有觀察者提出更根本的批評：Meta 把跨裝置同步、完整磁碟權限、音訊串流與私人聊天紀錄，全部打包進一個未沙箱化、已簽署、還帶有可修改除錯端點的代理程式裡，等於是給了常見惡意軟體一條零成本通道，可以在不觸發任何營運警報的情況下繞過平台保護。值得注意的是，這項揭露發生在 Amazon 以未遵守自動化代理存取政策為由，將 Muse 封鎖於其購物平台之後不久。一連串事件讓 AI 代理程式的權限設計與平台安全邊界之間的張力，成為業界持續辯論的焦點。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。