맥 보안 연구자 패트릭 워들(Objective-See 재단)은 뮤즈 맥 앱의 문서화되지 않은 설정 endo_voyager_dictation_endpoint 를 특별한 권한 없는 로컬 프로세스가 바꿀 수 있다는 점을 찾아, 사용자가 마이크 버튼으로 받아쓰는 프롬프트를 공격자 서버로 돌리는 실증 코드 not-a-mused 를 9월 21일 깃허브에 올렸어요. 돌린 트래픽에서 인증 정보를 빼내면 뮤즈가 노출하는 50개 넘는 명령을 대신 부를 수 있어서, 시연에서는 연결된 아이폰의 위치를 받아 오고 블루투스 검색까지 시켰어요. 이미 사용자 계정으로 코드를 실행할 수 있어야 하는 로컬 공격이라 원격에서 바로 뚫리는 구멍은 아니고, 메타는 더 레지스터의 문의에 바로 답하지 않았으며 패치 여부는 확인되지 않았어요.
용어 풀이
- VM
- 가상 머신. 한 컴퓨터 안에서 격리된 별도 컴퓨터처럼 도는 실행 환경
운영자 인사이트
에이전트에 준 권한은 그 에이전트가 도는 기기에서 코드를 실행하는 모든 프로세스의 권한이 되니, 설정값이나 서버 주소를 일반 사용자 권한으로 고칠 수 있는 에이전트 앱이라면 맬웨어 하나가 계정과 연결 기기까지 이어받는 구조인지 먼저 확인하세요.
여러 관점으로 보기
- 연구자 실증 코드 저장소는 이 취약점을 로컬 공격으로 명시하고, 뮤즈가 노출하는 50개 넘는 명령 중 일부를 구현해 받아쓰기 시점에 트리거된다고 적었어요. GitHub
- 원문 보도 아스테크니카는 왓츠앱·메일·달력·파일·위치까지 닿는 뮤즈의 권한을 강조하며 이 결함이 로컬 앱과 터미널 명령에 에이전트 제어권을 준다고 썼어요. Ars Technica
- 메타의 공식 보안 설계 메타는 9월 8일 글에서 에이전트가 실제 토큰을 보지 못하는 자격 증명 분리와 모든 외부 동작을 승인하는 센티널을 내세웠고, 버그 바운티는 최대 30만 달러예요. Meta AI Research
- 맥 앱 분해 분석 9월 17일 정적 분석은 뮤즈 맥 앱(코드명 Endo)에 화면 캡처·프로그램 실행·브라우저 자동화가 들어 있지만 서버 플래그 5개로 꺼져 있고, 추론은 메타 클라우드 VM 에서 돈다고 적었어요. GitHub