Meta ha pagato circa 1,2 milioni di dollari per segnalazioni di vulnerabilità che riguardano l'agente Muse AI, compresi 300.000 dollari per un difetto che esponeva conversazioni e token sui sistemi di test interni prima del lancio. SecurityWeek ha riportato che tra i risultati figurano anche attacchi basati su pagine web malevole, codici di accesso via email e sulle app desktop e mobile di Muse.
Muse agisce per conto degli utenti su email, calendari, messaggistica e altri account, e l'agente di ciascun utente funziona in una propria macchina virtuale, cioè un computer separato basato su software. Le vulnerabilità rese note riguardano diversi modi in cui gli attaccanti potrebbero superare questi confini di accesso, con condizioni che vanno dal chiedere a Muse di riassumere una pagina malevola al caso in cui l'attaccante abbia già accesso a un Mac.
David Singleton di Meta, in un post sul blog citato da SecurityWeek, ha spiegato che il programma di bug bounty è partito in forma privata ad aprile e si è aperto al pubblico con il lancio di Muse, l'8 settembre. I ricercatori hanno inviato più di 630 segnalazioni, di cui 64 valide.
Un cambiamento del proxy ha compromesso un controllo di fiducia
Il premio più alto, 300.000 dollari, è stato assegnato quattro mesi prima del lancio, durante i primi test interni. Un ricercatore ha dimostrato l'accesso a conversazioni e token su macchine virtuali pre-release che i dipendenti di Meta usavano per testare Muse.
Singleton ha spiegato che un controllo di autenticazione accettava come prova che la richiesta provenisse da una fonte attendibile un header (un campo allegato a una richiesta web) proveniente da un proxy HTTPS locale. Una migrazione di sistema ha introdotto un secondo livello di proxy, che permetteva anche alle richieste esterne di portare con sé quell'header attendibile.
Meta ha disattivato il servizio, corretto il difetto e smesso di considerare attendibile la macchina locale.
Pagine malevole, codici di accesso e credenziali delle app
Una seconda segnalazione, premiata con 90.000 dollari, ha mostrato come una pagina web malevola potesse imitare i messaggi di stato dello strumento di navigazione di Muse quando all'agente veniva chiesto di riassumerla. Si trattava di un attacco di prompt injection: il contenuto della pagina cercava di orientare il comportamento dell'agente. Singleton ha detto che ciò portava Muse a compiere azioni che avrebbero dovuto essere intercettate.
Meta ha aggiunto segnali di rilevamento e modificato il modo in cui Muse gestisce l'output sospetto degli strumenti. L'azienda afferma che i suoi classificatori ora rilevano quell'attacco e altre 100 varianti nei test.
Un altro ricercatore ha ottenuto 90.000 dollari per aver dimostrato che una particolare formattazione poteva aggirare i filtri di oscuramento delle email che rimuovono i codici monouso. Meta ha descritto il bypass come una componente di un attacco end-to-end.
Un difetto su Android ha fruttato 50.000 dollari. Un'app malevola poteva passare un link a una web view privilegiata, cioè un browser incorporato con accesso alle credenziali dell'app. Il gestore dei link riconosceva un percorso di pagina condivisa senza verificare l'host, consentendo il caricamento di una pagina controllata dall'attaccante, che poteva così acquisire quelle credenziali.
Una vulnerabilità nell'app per Mac ha fruttato 1.000 dollari. Richiedeva che l'attaccante avesse accesso al computer: da lì poteva dirottare la funzione di aggiornamento automatico ed eseguire codice con i permessi dell'app.
Per i ricercatori che analizzano Muse, Meta offre fino a 300.000 dollari per ogni segnalazione valida, un massimale che, secondo l'azienda, è diverse volte superiore ai premi più alti pubblicizzati da altri importanti sviluppatori di IA. Una prompt injection che colpisce un solo utente può fruttare fino a 130.000 dollari; una compromissione dell'intera flotta può fruttare fino a 250.000 dollari.
