- El investigador Patrick Wardle descubre una vulnerabilidad de día cero en el nuevo asistente de IA "Muse" de Meta.
- Apodada "not-a-mused", la vulnerabilidad requiere un acceso local, el uso del dictado de voz e integraciones con otras aplicaciones; los atacantes pueden secuestrar tokens y extraer datos.
- Se ha informado a Meta, pero aún no hay un parche; la falla pone de relieve los riesgos de los asistentes de IA con amplios permisos.
Según se informa, Muse, el nuevo asistente de inteligencia artificial (IA) de Meta, presentaba una vulnerabilidad de día cero que permitía a los atacantes acceder a las aplicaciones de los usuarios, como WhatsApp o el correo electrónico.
Sin embargo, no se trata de una vulnerabilidad de día cero como las habituales: para aprovecharla, no basta con instalar malware. Es necesario habilitar ciertas funciones y establecer ciertas integraciones antes de poder aprovechar el error.
No me hace gracia
Un poco de información previa, para ponerlo en contexto: Meta lanzó recientemente Muse, describiéndolo como un asistente capaz de «programar citas, llenar formularios y encargarse del servicio al cliente». Afirma que la herramienta, disponible por ahora exclusivamente para el ecosistema Mac, «te libera de tareas de manera proactiva» y realiza compras, genera imágenes y crea documentos.
Sin embargo, para hacerlo, necesita conectarse a aplicaciones como el correo electrónico, WhatsApp, el calendario o cuentas de redes sociales, y esta conexión es el primer requisito previo necesario para explotar la falla.
El segundo requisito previo es el dictado de voz. La vulnerabilidad se encontró en la forma en que Muse maneja los comandos recibidos por voz, lo que significa que el atacante debe aprovecharse de los comandos de voz para escalar privilegios y acceder a otras aplicaciones y a su contenido.
Ahora, en cuanto a la falla en sí. Fue descubierta por el investigador de seguridad Patrick Wardle, fundador de la organización sin fines de lucro Objective-See. La denominó «not-a-mused» y afirma que se esconde en una configuración no documentada llamada endo_voyager_dictation_endpoint. Cuando un usuario dicta un comando de voz, esa instrucción se envía y se procesa en la nube, donde Meta puede registrarla. Esta configuración permite al usuario cambiar qué punto final recibe el dictado.
Lo cual nos lleva al tercer requisito previo. El actor malicioso debe tener acceso local para poder modificar esta configuración en primer lugar. En otras palabras, el dispositivo ya debe estar comprometido de alguna manera, ya sea a través de herramientas de monitoreo y administración remotas, o mediante malware de bajo nivel (o con acceso físico).
A efectos de este informe, supongamos que un usuario teórico cumple con todos los requisitos: está utilizando una máquina comprometida y se comunica con Muse, que ya está conectada a otras aplicaciones de productividad. En lugar de llegar a los puntos finales de Meta, los comandos de voz se envían primero a una infraestructura controlada por el atacante, donde el asistente de IA, junto con las instrucciones, también envía los tokens de autenticación para la herramienta.
Si el atacante reacciona lo suficientemente rápido, puede hacerse con el token y acceder a la herramienta de IA de su objetivo. Si está conectada a otras aplicaciones, como WhatsApp o el calendario, simplemente puede ordenarle que extraiga cualquier información confidencial que se encuentre en su interior.
Por lo tanto, «Not-a-mused» es una combinación de exfiltración de datos y escalada de privilegios.
Resolver los problemas
“Podemos manipular el asistente y aprovechar sus privilegios para hacer lo que queramos”, declaró Wardle a Ars Technica.
“Así que, en lugar de tener que escribir un malware para Mac muy completo que robe información, simplemente podemos aprovechar el propio asistente de IA”. Wardle afirmó que ha desarrollado varios ataques de prueba de concepto que realizan acciones como escribir archivos maliciosos en el disco y tomar fotos, en muchos casos sin que ni siquiera un usuario atento se dé cuenta.
Se ha informado a Meta, pero aún no ha hecho comentarios ni ha lanzado un parche.
Los asistentes de IA están de moda hoy en día. Han transformado los elaborados sistemas de respuesta automática en herramientas capaces de realizar tareas, incluso las más complejas. Pueden reservar vuelos y mesas en restaurantes, hacer compras, programar y reprogramar llamadas y reuniones, y mucho más. Sin embargo, para hacer eso, estas herramientas necesitan amplios permisos, algo sobre lo que la comunidad de seguridad está advirtiendo.
Aunque no se pronuncian abiertamente en contra, aconsejan precaución. Existen muchos casos de agentes de IA que se vuelven rebeldes o que simplemente son engañados por actores maliciosos. Por ejemplo, una indicación oculta en un correo electrónico de phishing puede engañar a un agente de IA encargado de resumir el mensaje para que extraiga todos los documentos .PDF de la bandeja de entrada de la víctima.
En los inicios de la IA agentiva, hubo informes de asistentes que simplemente borraban las bandejas de entrada de las personas.
Es probable que los asistentes hayan llegado para quedarse, pero aún quedan bastantes problemas por resolver antes de que puedan llegar al gran público.
Sigue a TechRadar en Google Noticias y añádenos como fuente preferida para recibir nuestras noticias, reseñas y opiniones de expertos en tus feeds.
