Falha no Muse, assistente de IA da Meta para Mac, dava a invasores as chaves de câmera, arquivos e WhatsApp

O Muse, assistente de inteligência artificial que a Meta lançou para Mac, tinha uma falha capaz de entregar a um invasor boa parte do controle que o próprio usuário dá ao programa: acesso a arquivos, microfone, câmera, localização, calendário e aplicativos como WhatsApp, e-mail e redes sociais. Segundo a Ars Technica e o The Verge, quem descobriu o problema foi o pesquisador de segurança Patrick Wardle, fundador da Objective-See, que batizou a prova de conceito de “not-a-mused”.

A brecha mora numa configuração escondida do Muse chamada endo_voyager_dictation_endpoint, responsável por definir para onde o assistente envia o áudio do ditado por voz. O problema é que qualquer processo rodando no Mac, mesmo sem privilégios de administrador, conseguia alterar esse endereço sem pedir permissão. Na prática, bastava redirecionar o tráfego de ditado para um servidor controlado pelo atacante para capturar tudo o que o usuário falava para a IA, incluindo o token de autenticação da conta, enviado junto com os dados de voz.

Esse token é a peça mais valiosa do ataque. Com ele, quem invadiu o sistema consegue se passar pelo Muse e herdar as mesmas permissões que o usuário concedeu ao assistente durante a configuração. E como o Muse foi pensado para gerenciar o Mac de ponta a ponta, essas permissões cobrem bem mais do que um aplicativo comum pediria: arquivos pessoais, câmera, microfone, localização, calendário e acesso a redes sociais e mensageiros como WhatsApp.

Vale um detalhe importante, que evita o alarme exagerado: a falha não abre o Mac remotamente a partir do nada. O invasor precisa primeiro conseguir rodar código na máquina da vítima, seja por um malware comum, seja por uma técnica chamada ClickFix, que engana a pessoa para colar e executar um comando malicioso no Terminal por conta própria. O Muse não é a porta de entrada, mas se torna um alvo de altíssimo valor assim que o invasor já tem um pé dentro do sistema, porque transforma um acesso limitado em controle muito mais amplo.

Wardle publicou a descoberta junto com o código de prova de conceito no dia 21 de setembro. A Meta reagiu rápido: lançou uma correção poucas horas depois da divulgação pública, no que a imprensa especializada chamou de hotfix. Até a publicação da falha, não havia sinal de que o problema tivesse sido explorado por criminosos antes da denúncia responsável do pesquisador.

O episódio expõe um risco que tende a crescer junto com a corrida das big techs por assistentes de IA cada vez mais integrados ao sistema operacional. Quanto mais permissão um programa desses acumula para ser útil, maior o prêmio para quem conseguir sequestrá-lo. Um erro de configuração que passaria despercebido num aplicativo qualquer virou, aqui, uma porta para câmera, microfone e conversas privadas de quem confiou no assistente da Meta para cuidar do Mac.