Meta a corrigé en urgence une faille critique dans Muse, son nouvel agent autonome. Découverte par un chercheur en sécurité, la vulnérabilité permettait à un attaquant de détourner un réglage caché de l’application Mac pour transformer l’assistant en outil d’espionnage. Les données visées incluaient les photos et la géolocalisation de la victime. Le correctif a été déployé quelques heures après le signalement.
Une application détournée par un simple réglage caché
Le chercheur a identifié un paramètre non documenté dans la version macOS de Muse. En modifiant ce réglage, un pirate pouvait prendre le contrôle de l’agent à distance, sans interaction directe avec la victime. Une fois le détournement effectué, Muse pouvait accéder aux photos stockées sur l’appareil et transmettre les données de localisation en temps réel. La faille reposait sur un défaut de validation des autorisations, permettant à l’agent d’outrepasser les restrictions normales du système.
Un correctif rapide mais des questions persistantes
Meta a réagi immédiatement en publiant une mise à jour qui neutralise le réglage fautif et renforce la vérification des permissions. Cette réactivité contraste avec les délais souvent observés pour d’autres vulnérabilités similaires, mais elle souligne aussi les risques inhérents aux agents autonomes. Ces programmes, conçus pour agir au nom de l’utilisateur, disposent parfois d’accès étendus qui deviennent dangereux en cas de compromission.
Ce qui est confirmé et ce qui reste inconnu
Les faits suivants sont établis : la faille existait dans la version Mac de Muse, le vecteur d’attaque était un paramètre caché, et les données exposées incluaient photos et géolocalisation. Meta a corrigé le problème en quelques heures. En revanche, aucune information n’a été communiquée sur une exploitation réelle de la faille par des acteurs malveillants. De même, on ignore si d’autres versions de l’application (iOS, Android ou Windows) présentaient une vulnérabilité analogue. Le chercheur à l’origine de la découverte n’a pas détaillé les conditions exactes du détournement.
Cette affaire rappelle que les assistants autonomes, malgré leurs promesses de simplicité, doivent être abordés avec prudence. La mise à jour corrective est disponible dès maintenant pour tous les utilisateurs de Muse sur Mac.