Meta a versé environ 1,2 million de dollars pour des rapports de vulnérabilités touchant son agent IA Muse, dont 300 000 dollars pour une faille qui exposait des conversations et des jetons sur des systèmes de test internes avant le lancement. SecurityWeek a rapporté que les découvertes incluaient aussi des attaques passant par des pages web malveillantes, des codes d'accès envoyés par courriel et les applications de bureau et mobiles de Muse.
Muse agit au nom des utilisateurs dans leur messagerie, leurs agendas, leurs services de messagerie instantanée et d'autres comptes. L'agent de chaque utilisateur fonctionne dans sa propre machine virtuelle, c'est-à-dire un ordinateur séparé, simulé par logiciel. Les découvertes rendues publiques concernent plusieurs moyens différents de franchir ces frontières d'accès, dans des conditions allant de la demande faite à Muse de résumer une page malveillante jusqu'au cas où un attaquant disposerait déjà d'un accès à un Mac.
David Singleton, de Meta, a déclaré dans un billet de blog cité par SecurityWeek que le programme de primes avait démarré en privé en avril, puis s'était ouvert au public au lancement de Muse, le 8 septembre. Les chercheurs ont soumis plus de 630 rapports, dont 64 étaient valides.
Un changement de proxy a rompu un contrôle de confiance
La prime la plus élevée rendue publique, 300 000 dollars, a été versée quatre mois avant le lancement, pendant les premiers tests internes. Un chercheur a démontré qu'il pouvait accéder aux conversations et aux jetons sur des machines virtuelles de préproduction que les employés de Meta utilisaient pour tester Muse.
Singleton a expliqué qu'un contrôle d'authentification acceptait comme preuve qu'une requête provenait d'une source de confiance un en-tête (un champ joint à une requête web) envoyé par un proxy HTTPS local. Une migration de système a ajouté une seconde couche de proxy, permettant aux requêtes externes de transporter elles aussi cet en-tête de confiance.
Meta a mis le service hors ligne, corrigé la faille et cessé de considérer la machine locale comme fiable.
Pages malveillantes, codes d'accès et identifiants d'application
Un autre rapport, récompensé 90 000 dollars, montrait comment une page web malveillante pouvait imiter les messages d'état de l'outil de navigation de Muse lorsque l'agent était invité à la résumer. Il s'agissait d'une attaque par injection de prompt : le contenu de la page tentait d'orienter le comportement de l'agent. Singleton a indiqué qu'elle avait conduit Muse à effectuer des actions qui auraient dû être détectées.
Meta a ajouté des signaux de détection et modifié la façon dont Muse traite les sorties suspectes des outils. L'entreprise affirme que ses classificateurs détectent désormais cette attaque ainsi que 100 variantes lors des tests.
Un autre chercheur a reçu 90 000 dollars pour avoir montré qu'un formatage particulier pouvait contourner les filtres de masquage des courriels utilisés pour les codes d'accès à usage unique. Meta a décrit ce contournement comme un élément d'une attaque de bout en bout.
Une faille Android a rapporté 50 000 dollars. Une application malveillante pouvait transmettre un lien à une vue web privilégiée, c'est-à-dire un navigateur intégré ayant accès aux identifiants de l'application. Le gestionnaire de liens reconnaissait un chemin de page partagée sans vérifier l'hôte, ce qui permettait à une page contrôlée par l'attaquant de se charger et de capturer ces identifiants.
Une faille dans l'application Mac a rapporté 1 000 dollars. Elle exigeait que l'attaquant ait accès à l'ordinateur, depuis lequel il pouvait détourner la fonction de mise à jour automatique et exécuter du code avec les permissions de l'application.
Aux chercheurs qui évaluent Muse, Meta propose jusqu'à 300 000 dollars par rapport valide, un plafond que l'entreprise présente comme plusieurs fois supérieur aux primes les plus élevées annoncées par d'autres grands développeurs d'IA. Une injection de prompt affectant un seul utilisateur peut rapporter jusqu'à 130 000 dollars ; une compromission touchant l'ensemble du parc peut rapporter jusqu'à 250 000 dollars.
