สรุปสั้น

ช่องโหว่ 0-day ในเอเจนต์ AI ชื่อ Muse ของ Meta สำหรับ macOS อาจเปิดทางให้มัลแวร์ที่กำลังรันภายใต้บัญชีผู้ใช้อยู่แล้ว เข้ายึดผู้ช่วยตัวนี้ ดักคำสั่งที่ผู้ใช้สั่งด้วยเสียง inject คำสั่งที่เป็นอันตราย และขโมยข้อมูลยืนยันตัวตน ช่องโหว่นี้น่ากังวลเป็นพิเศษเพราะเอเจนต์ที่ถูกยึดสามารถสืบทอดสิทธิ์จำนวนมากและการเข้าถึงบริการที่เชื่อมต่อซึ่งผู้ใช้ได้มอบความไว้วางใจให้ Muse ไว้

นาย Patrick Wardle นักวิจัยด้านความปลอดภัยและผู้ก่อตั้ง Objective-See เปิดเผยปัญหานี้พร้อมชุดโจมตีตัวอย่าง (proof-of-concept) ชื่อ “not-a-mused” งานวิจัยพบว่า Muse เปิดเผยค่าคอนฟิกที่ไม่มีเอกสารกำกับชื่อ endo_voyager_dictation_endpoint ซึ่งโปรเซสระดับสิทธิ์ต่ำในเครื่องสามารถแก้ไขได้โดยไม่ต้องมีสิทธิ์ยกระดับ การเปลี่ยนค่านี้จะเปลี่ยนเส้นทางทราฟฟิกการสั่งงานด้วยเสียงของ Muse จากปลายทางที่ตั้งใจไว้ ไปยังเซิร์ฟเวอร์ที่ผู้โจมตีควบคุม

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 22 กันยายน 2569 ว่า นาย Patrick Wardle ได้เปิดเผยช่องโหว่ 0-day ในเอเจนต์ AI Muse ของ Meta บน macOS พร้อมชุดโจมตีตัวอย่าง

เมื่อเปลี่ยนเส้นทางปลายทางแล้ว ผู้โจมตีจะสามารถดักจับเสียงและคำสั่งที่ผู้ใช้สั่งงานก่อนที่จะไปถึงระบบหลังบ้านของ Muse บิดเบือนคำสั่งที่ส่งไปยังเอเจนต์ และได้ข้อมูลยืนยันตัวตนที่ผูกกับบัญชีของเหยื่อ สิ่งนี้สร้างช่องทางสำหรับการ inject คำสั่ง (prompt injection) และการยึดเซสชัน ซึ่งอาจทำให้ผู้โจมตีส่งคำสั่งหรือเนื้อหาที่เป็นอันตรายผ่านเวิร์กโฟลว์ AI ที่ได้รับความเชื่อถือได้

ช่องโหว่นี้ไม่ได้เปิดทางให้รันโค้ดจากระยะไกล (RCE) บนเครื่อง Mac ที่สะอาด ผู้โจมตีต้องมีความสามารถรันโค้ดในสิทธิ์ผู้ใช้ในเครื่องก่อน อาจผ่านมัลแวร์ทั่วไปหรือเทคนิควิศวกรรมสังคม อย่างไรก็ตาม นาย Wardle ชี้ว่าข้อบกพร่องนี้ทำหน้าที่เป็น “การขยายสิทธิ์การเข้าถึง” (access amplification) กล่าวคือ มัลแวร์ธรรมดาที่ถูกจำกัดด้วยการควบคุมความเป็นส่วนตัวของ macOS สามารถเล่นงาน Muse เพื่อใช้ประโยชน์จากอำนาจที่กว้างขวางกว่าซึ่งเอเจนต์ได้รับมอบไว้แล้ว

อำนาจดังกล่าวมีมาก โดย Meta ระบุว่า Muse สามารถทำงานกับไฟล์ แอปพลิเคชัน และแท็บเบราว์เซอร์ เชื่อมต่ออีเมลและปฏิทิน ท่องเว็บ ซื้อสินค้า และทำงานต่อเนื่องในเบื้องหลังได้ ชุดโจมตีตัวอย่างของ Wardle ใช้เพียงส่วนหนึ่งของคำสั่งกว่า 50 รายการที่ Muse เปิดเผย และการสาธิตแยกยังแสดงว่าบัญชีที่ถูกยึดสามารถระบุอุปกรณ์ที่เชื่อมโยง และสั่ง iPhone ที่ออนไลน์อยู่ให้ส่งข้อมูลตำแหน่งหรือเริ่มสแกน Bluetooth Low Energy ได้ ซึ่งขยายผลกระทบออกไปเกินกว่าเครื่อง Mac ที่ติดเชื้อ

แม้การโจมตีจะต้องอาศัยการรันโค้ดในสิทธิ์ผู้ใช้บนเครื่องก่อน แต่ต่อมามีรายละเอียดเพิ่มเติมว่าผู้โจมตีจากระยะไกลก็เข้าถึงเงื่อนไขนี้ได้ผ่านเทคนิค ClickFix โดย นาย Wardle ระบุกับเว็บไซต์ The Hacker News ว่าผู้โจมตีสามารถหลอกผู้ใช้ให้รันคำสั่งเพียงบรรทัดเดียวใน Terminal โดยไม่ต้องดาวน์โหลดหรือติดตั้งอะไรเลย เพียงเท่านี้ก็ยึด Muse และขโมยโทเคนของผู้ใช้ได้ ทั้งนี้ Muse เป็นเอเจนต์ AI ส่วนบุคคลที่ Meta เพิ่งเปิดตัวในสหรัฐเมื่อเดือนนี้ ซึ่งเมื่อผู้ใช้เปิดใช้งานแล้วสามารถทำงานข้ามไฟล์ อีเมล ข้อความ ปฏิทิน แอปช้อปปิ้ง และแอปสมาร์ตโฮมได้ตามสิทธิ์ที่ผู้ใช้เลือกมอบให้

รายละเอียดช่องโหว่

หัวใจของช่องโหว่คือค่าคอนฟิก endo_voyager_dictation_endpoint ที่ไม่มีเอกสารกำกับ และสามารถถูกแก้ไขได้โดยโปรเซสสิทธิ์ต่ำโดยไม่ต้องยกระดับสิทธิ์ ทำให้ผู้โจมตีเปลี่ยนเส้นทางทราฟฟิกการสั่งงานด้วยเสียงไปยังเซิร์ฟเวอร์ของตน แล้วดักจับ บิดเบือน หรือ inject คำสั่งเข้าสู่ช่องทางที่เชื่อถือของเอเจนต์ได้ นาย Wardle ตั้งข้อสังเกตว่าเครื่องมือตรวจจับปลายทาง (endpoint detection) อาจแยกแยะได้ยากว่าการกระทำใดมาจากผู้ใช้ เอเจนต์ หรือผู้โจมตี เมื่อคำสั่งถูกรันผ่านแอปพลิเคชันที่ลงนามและได้รับความเชื่อถือ ขณะที่อดีตผู้จัดการฝ่ายวิศวกรรมความปลอดภัย AI ของ Meta รายหนึ่งกล่าวว่าเขาจะไม่ใช้ Muse เพราะกังวลเรื่องความปลอดภัยและความเป็นส่วนตัว

Meta วางตลาด Muse ในฐานะเอเจนต์ส่วนบุคคลที่เน้นความปลอดภัย สร้างขึ้นรอบ Secure VM เฉพาะ การจัดเก็บข้อมูลรับรองที่ได้รับการป้องกัน และสิทธิ์ที่ผู้ใช้ควบคุมได้ พร้อมเปิดโครงการ bug bounty สาธารณะที่ให้รางวัลสูงถึง 300,000 ดอลลาร์สำหรับช่องโหว่ของ Muse หรือรายงาน prompt injection ที่มีผลกระทบ อย่างไรก็ตาม นาย Wardle ชี้ว่าช่องโหว่นี้ไม่ได้เจาะทะลุกลไกของ macOS ที่กันไม่ให้แอปหนึ่งอ่านรหัสผ่านและโทเคนที่บันทึกไว้ของอีกแอป และไม่ได้แสดงว่าระบบคลาวด์ของ Meta ที่ออกแบบมาให้แยกเอเจนต์ของผู้ใช้แต่ละรายถูกเจาะ เพราะการโจมตีอาศัยการทำให้ Muse ทำงานด้วยสิทธิ์ที่มันมีอยู่แล้ว โดยตัว Muse เองเป็นผู้ส่งโทเคนไปพร้อมกับทราฟฟิกเสียงที่ถูกเปลี่ยนเส้นทาง

การเปิดเผยช่องโหว่และการตอบสนองของ Meta

นาย Wardle เลือกเปิดเผยช่องโหว่ต่อสาธารณะแบบเต็มรูปแบบ (full disclosure) เมื่อวันที่ 21 กันยายน 2569 โดยระบุว่าไม่ได้แจ้ง Meta ก่อนเผยแพร่ เพราะต้องการให้ผู้ใช้เข้าใจความเสี่ยง และมองว่าการเปิดเผยต่อสาธารณะมักเป็นวิธีที่เร็วที่สุดในการผลักดันให้ช่องโหว่ลักษณะนี้ถูกแก้ไข ต่อมา นาย Wardle ระบุว่า Meta ได้ปล่อยสิ่งที่เขาเรียกว่า “การแก้ไข” ออกมาแล้ว โดยอ้างถึงโพสต์บนแพลตฟอร์ม X อย่างไรก็ตาม The Hacker News ระบุว่ายังไม่สามารถยืนยันได้ว่าการเปลี่ยนแปลงนั้นทำอะไร และ Meta ยังไม่ได้เผยแพร่คำแนะนำด้านความปลอดภัย (security advisory) อย่างเป็นทางการ

นาย Wardle ยังโต้แย้งว่า Meta เป็นผู้สร้างจุดอ่อนนี้ขึ้นมาเอง จากการพัฒนากลไกจัดการการสั่งงานด้วยเสียงของตนเองที่ส่งเสียงออกไปนอกเครื่อง แทนที่จะใช้ระบบ dictation ของ Apple ที่ประมวลผลบนเครื่อง Mac โดยตรง ทั้งนี้เขาระบุว่าได้พบช่องโหว่เพิ่มเติมในผู้ช่วย AI ตัวอื่น ๆ รวมถึงในแอปที่มีผู้ใช้แพร่หลายกว่านี้มาก ซึ่งได้รายงานให้ผู้พัฒนาทราบแล้ว และวางแผนนำเสนอในงานประชุม Objective by the Sea ที่รัฐฮาวายในเดือนพฤศจิกายน 2569

ผลกระทบ

การเปิดโปงครั้งนี้ตอกย้ำความกังวลว่าเอเจนต์ AI ที่มีสิทธิ์สูงกำลังกลายเป็นจุดล้มเหลวจุดเดียว (single point of failure) เพราะเมื่อผู้ใช้มอบอำนาจให้เอเจนต์เข้าถึงไฟล์ อีเมล ปฏิทิน เบราว์เซอร์ และบริการที่เชื่อมต่อจำนวนมาก การยึดช่องทางสั่งการของเอเจนต์เพียงจุดเดียวก็เพียงพอให้ผู้โจมตีใช้อำนาจเหล่านั้นในทางที่ผิด ที่ร้ายกว่าคือมัลแวร์สิทธิ์ต่ำที่ปกติถูกจำกัดด้วยการควบคุมความเป็นส่วนตัวของ macOS สามารถ “ยืม” สิทธิ์ที่กว้างกว่าของเอเจนต์เพื่อขยายผลกระทบ และการที่คำสั่งวิ่งผ่านแอปที่ลงนามแล้วยังทำให้การตรวจจับยากขึ้นอีก แนวโน้มนี้เตือนว่าองค์กรและผู้ใช้ต้องประเมินความเสี่ยงของเอเจนต์ AI ที่ได้รับสิทธิ์กว้างก่อนนำมาใช้

คำแนะนำ

จนกว่าจะมีการแก้ไขที่ได้รับการยืนยัน ผู้ใช้ Mac ควรมอง Muse เป็นเป้าหมายความปลอดภัยที่มีมูลค่าสูง และลดความเสี่ยงด้วยการหยุดใช้งานหรือถอนการติดตั้งแอปชั่วคราว ทบทวนและเพิกถอนสิทธิ์และบัญชีที่เชื่อมต่อซึ่งไม่จำเป็น หมุนเวียนข้อมูลยืนยันตัวตนหากสงสัยว่าถูกเจาะ และเฝ้าระวังกิจกรรมของเอเจนต์ที่ผิดปกติ นอกจากนี้ เนื่องจากการโจมตีต้องอาศัยการสั่งงานด้วยเสียง การหลีกเลี่ยงการใช้ voice input ของ Muse จะปิดเส้นทางการโจมตีที่ถูกสาธิตไว้โดยตรง และผู้ใช้ไม่ควรรันคำสั่งใน Terminal ตามที่เว็บไซต์หรือข้อความใด ๆ สั่งให้วาง ซึ่งเป็นจุดเริ่มต้นของการโจมตีแบบ ClickFix ส่วนองค์กรควรจำกัดการใช้เอเจนต์ AI ที่ไม่ได้รับอนุมัติบนเครื่อง Mac ที่บริหารจัดการ และตรวจสอบโปรเซสใด ๆ ที่พยายามแก้ไขค่าคอนฟิกปลายทางของ Muse (endo_voyager_dictation_endpoint) ซึ่งเป็นสัญญาณบ่งชี้การโจมตี

แหล่งอ้างอิง