Meta Muse su macOS: il malware ruba le credenziali AI

Una chiave di preferenza riscrivibile da qualsiasi processo

Il 21 settembre 2026 Patrick Wardle ha pubblicato una proof-of-concept contro Meta Muse per macOS. Il bersaglio è una chiave di preferenza priva di documentazione, endo_voyager_dictation_endpoint, che decide dove l'app invia la dettatura.

Qualsiasi programma in esecuzione come utente loggato può puntarla verso un indirizzo che l'attaccante controlla, con zero permessi aggiuntivi e zero richieste di consenso. Il dettaglio tecnico arriva dal resoconto di The Hacker News del 22 settembre 2026^[1].

Muse è l'agente personale che Meta ha lanciato negli Stati Uniti questo mese. Una volta attivo, lavora su file, email, messaggi, calendario, acquisti e app per la casa connessa. L'ampiezza dipende dai permessi che il proprietario gli concede.

Un identificativo CVE ufficiale manca tuttora. Questa redazione lo registra come debolezza di design divulgata da un ricercatore, con patch ancora da documentare, e come il primo caso pubblico in cui un infostealer su endpoint punta alle credenziali di un assistente AI.

Il percorso dell'audio verso un server ostile

Il meccanismo è lineare. L'utente tocca il microfono e detta il suo prompt. L'audio e la trascrizione raggiungono un piccolo programma che l'attaccante esegue sulla stessa macchina, invece dei server di Meta.

Da quel punto la PoC mostra tre capacità distinte: lettura del contenuto dettato, iniezione di istruzioni che Muse considera legittime, cattura del token che autentica l'account.

L'iniezione è la parte pesante. Il testo dell'attaccante entra nel flusso come parola dell'utente, quindi l'agente lo tratta come comando autorizzato e agisce di conseguenza. Una singola istruzione aggiunta basta per far compiere all'assistente un'azione che il proprietario ignora.

Questa è la forma più pura di prompt injection. Il canale di input fidato diventa un canale controllato da terzi, e il modello resta privo di strumenti per distinguere le due origini.

Il token che vale su ogni dispositivo

La cattura del token sposta l'incidente da locale a distribuito. Un account Muse può restare connesso su più dispositivi, quindi chi possiede il token comanda l'assistente ovunque sia attivo.

Wardle ha usato il token del proprio Mac per pilotare Muse sul suo iPhone. L'app ha riportato la posizione esatta, ha eseguito una scansione Bluetooth dei dispositivi vicini e ha elencato i comandi domotici disponibili.

Il perimetro cambia natura. Il malware gira su un endpoint, l'effetto arriva su un telefono e dentro una casa connessa.

Chi ottiene quelle credenziali acquisisce anche la cronologia delle conversazioni, cioè settimane di contesto personale e aziendale. La stessa catena di attacco è descritta da tech-insider.org^[2], che la classifica come backdoor abilitata da un'impostazione nascosta.

Perché la telemetria di sicurezza resta cieca

I prodotti di detection perdono questo attacco per una ragione strutturale. I comandi partono da Muse, un'applicazione firmata e legittima, invece che da un binario sospetto.

macOS isola le app fra loro. Il sottosistema TCC impedisce a un processo di leggere i file, il microfono, la camera o le credenziali di un altro, quindi il malware ordinario resta confinato in un recinto stretto.

Un agente con permessi ampi rompe quel recinto per conto dell'attaccante. Chi pilota Muse ottiene tutto ciò che l'utente ha concesso all'app, e ogni azione compare nei log con la firma di un'applicazione attendibile.

Il risultato pratico è netto: le regole basate sulla reputazione del processo producono zero allarmi. La superficie di attacco è la fiducia che il sistema operativo accorda a un'app firmata con permessi da assistente.

La condizione di radice: privilegio concentrato per design

Questa redazione ripete una tesi da mesi. La security posture dei sistemi AI viaggia due o tre anni dietro la maturità dell'infrastruttura, e il caso Muse la conferma su un terreno nuovo: l'endpoint personale.

La condizione di radice è semplice. L'assistente agentico installato sulla macchina è un'escalation di privilegi per design, perché concentra in un unico processo i permessi che il sistema operativo aveva separato con cura.

Una chiave di preferenza scrivibile dall'utente decide dove finisce l'audio. Questo è un confine di sicurezza affidato a un file di configurazione, cioè una scelta architetturale che sposta il controllo fuori dal perimetro protetto.

Ogni agente che accumula autorizzazioni riproduce lo stesso schema. Il sistema che un agente raggiunge è il sistema che un agente compromette.

Il contro-argomento onesto sulla gravità

La debolezza richiede una condizione precisa: esecuzione di codice come utente loggato. Muse resta quindi fuori dalla categoria dei bug di accesso iniziale, e il ricercatore lo dichiara apertamente.

Questo abbassa la gravità formale e alza quella pratica. L'infostealer moderno ottiene esecuzione utente con regolarità, e la via indicata è ClickFix: la vittima incolla un singolo comando, con zero file scaricati e zero installazioni.

Il punto di equilibrio sta qui. Una volta raggiunto quel livello di accesso, il valore del bottino cambia di ordine di grandezza: prima cookie di sessione e password, adesso il controllo di un agente con permessi su email, calendario e dispositivi domestici.

Wardle sconsiglia l'installazione di Muse e definisce l'operazione "trivial to turn Muse into the ultimate backdoor". La posizione è netta e resta coerente con quanto la PoC dimostra.

Tre domande per i team AI enterprise

Il passaggio da curiosità di ricerca a decisione di procurement richiede tre verifiche concrete. Valgono per ogni assistente agentico installato su macchine aziendali, incluse quelle personali in regime BYOD.

1. Quale processo può riscrivere le preferenze dell'agente su disco, e con quale controllo di integrità?
2. Il token di sessione dell'assistente è revocabile lato server, per singolo dispositivo, entro un'ora?
3. Quali azioni dell'agente richiedono conferma umana esplicita, e quali partono in autonomia?

Ognuna produce un esito binario. Quando la risposta manca, l'assistente resta un componente privo di governance, e la sua presenza sulla flotta diventa un rischio accettato in modo implicito.

Aggiungo un quarto criterio per il fornitore: dove passa il confine di fiducia fra preferenze locali e endpoint remoti? Una risposta vaga vale quanto una risposta assente.

Decisioni per il prossimo ciclo di pianificazione

Per il CTO la priorità è l'inventario: quali agenti girano sugli endpoint gestiti, con quali permessi TCC, con quale meccanismo di revoca. L'identità dell'agente è il piano di controllo del 2026.

Per l'Head of Engineering la regola operativa è una sola. Trattare input vocale e testuale di un assistente come dato ostile, con validazione indipendente prima di ogni azione che produce effetti.

Il CFO valuta un rischio nuovo. Un assistente con accesso alla casa connessa e al calendario del management sposta l'esposizione dalla sfera IT a quella della sicurezza fisica dei dirigenti.

Il comitato di procurement ha materiale per rinegoziare. Ogni contratto su assistenti agentici endpoint dovrebbe imporre rotazione e revoca dei token lato server, log nominativi per dispositivo, documentazione completa delle chiavi di configurazione che influenzano gli endpoint di rete.

La verifica finale è semplice: un impegno scritto sul tempo di patch. Meta ha ancora da pubblicare un identificativo e una correzione, e questo dato pesa più di qualsiasi scheda prodotto.