پاتریک واردل (Patrick Wardle)، پژوهشگر امنیت سیستم‌های Mac، اخیراً آسیب‌پذیری بحرانی در دستیار هوش مصنوعی Muse متعلق به شرکت متا کشف کرده است که می‌تواند این ابزار را به یک Backdoor ایده‌آل برای مهاجمان تبدیل کند.
تحلیل فنی مکانیسم حمله
دستیارهای هوش مصنوعی مدرن از ابزارهای ساده پاسخ‌دهنده به سوالات، به Agentهایی تبدیل شده‌اند که قادر به برنامه‌ریزی وظایف، استفاده از سرویس‌های متصل و اجرای عملیات (مانند مدیریت تقویم، ایمیل و خرید) هستند. برای دستیابی به این قابلیت‌ها، این Agentها به دسترسی‌های گسترده (Permissions) و داده‌های حساس نیاز دارند.
طبق یافته‌های واردل، یک اپلیکیشن محلی یا یک دستور Terminal می‌تواند تنظیمات مستندی نشده (Undocumented) در Muse را تغییر دهد که کنترل سرور مربوط به تبدیل گفتار به متن (Dictation Transcription) را بر عهده دارد. با تغییر مسیر ترافیک Dictation به سروری تحت کنترل مهاجم، فرد مهاجم می‌تواند موارد زیر را به دست آورد:
- ضبط دستورات صوتی کاربر (Voice Prompts)
- کسب توکن احراز هویت (Authentication Token) حساب Muse قربانی
پیش‌نیازها و ریسک‌های عملیاتی
لازم به ذکر است که این آسیب‌پذیری یک مورد Remote Code Execution (RCE) مستقیم نیست که بتواند یک سیستم کاملاً پاک را آلوده کند. مهاجم ابتدا باید بتواند کدی را به صورت محلی اجرا کند (مثلاً از طریق بدافزارهای Infostealer یا مهندسی اجتماعی). با این حال، خطر اصلی در این است که یک Agent هوش مصنوعیِ سازش‌یافته، دسترسی به چندین سرویس و مجوزهای سیستم‌عامل را در قالب یک رابط احراز شده (Authenticated Interface) تجمیع کرده و در اختیار مهاجم قرار می‌دهد.
توصیه‌های امنیتی و پیشگیری
پژوهشگران توصیه می‌کنند تا زمان رفع این مشکل، از نصب Muse خودداری کنید. همچنین برای مقابله با ریسک‌های مشابه در سایر Agentهای هوش مصنوعی، موارد زیر پیشنهاد می‌شود:
- اصل کمترین دسترسی (Least Privilege): دسترسی‌های گسترده به ایمیل، تقویم و ذخیره‌سازی ابری را به صورت همزمان به Agentها ندهید.
- پایش رفتار: هرگونه درخواست غیرمنتظره برای مجوزهای جدید یا احراز هویت مجدد را شناسایی کنید.
- آگاهی از Prompt Injection: فرض نکنید که AI می‌تواند دستورات مخرب جاسازی شده در وب‌سایت‌ها یا ایمیل‌ها را تشخیص دهد.
- به‌روزرسانی سیستم: استفاده از راهکارهای Anti-malware به‌روز برای جلوگیری از دسترسی اولیه مهاجم به سیستم.
