Личный ИИ-агент, которому доверяют почту, файлы и аккаунты, оказался уязвим ещё до выхода к пользователям. Meta* раскрыла ошибки в Muse, включая брешь, через которую специалист получил доступ к перепискам и токенам сотрудников, тестировавших сервис. За находку компания заплатила $300 тысяч, а общие выплаты за уязвимости Muse достигли примерно $1,2 млн.
Самую дорогую ошибку обнаружили примерно за четыре месяца до запуска Muse 8 сентября 2026 года. Как объяснил руководитель проекта Дэвид Синглтон, система принимала специальный HTTP-заголовок от локального прокси за подтверждение доверенного запроса. После изменения сетевой схемы тот же заголовок смогли передавать внешние запросы, обходя проверку подлинности.
Уязвимость подтвердили на тестовых виртуальных машинах сотрудников Meta. Специалист смог прочитать разговоры с агентом и получить токены доступа. Компания отключила сервис, исправила механизм авторизации и отказалась считать запросы с локальной машины заведомо безопасными. Подтверждений аналогичного доступа к данным обычных пользователей нет.
Другую ошибку нашли в защите от внедрения команд в ответы ИИ. Злоумышленник мог разместить на сайте текст, имитирующий сообщения браузерного инструмента Muse. Когда агенту поручали пересказать страницу, поддельные сообщения заставляли выполнять действия, которые система должна была остановить. За демонстрацию компания выплатила $90 тысяч и усилила защиту.
Meta утверждает, что теперь система распознаёт исходную атаку и ещё 100 её вариантов в собственных испытаниях. Подобные промпт-инъекции опасны тем, что ИИ принимает недоверенный текст за команду. В случае Muse атакующему не требовалось обращаться к агенту напрямую: вредоносную инструкцию достаточно было спрятать на странице, которую агент читал по просьбе пользователя.
Ещё $90 тысяч выплатили за обход фильтра одноразовых кодов из электронной почты. Muse должен скрывать такие коды, однако определённое форматирование текста позволяло обойти маскировку. Meta назвала ошибку частью более сложной цепочки атаки и изменила правила обработки писем. Сведений о реальной массовой краже одноразовых паролей в публикации нет.
В Android-приложении Muse нашли способ похитить данные авторизации встроенного браузера. Вредоносное приложение могло передать ссылку в привилегированный WebView, а обработчик проверял путь без проверки домена. Открывалась страница атакующего, способная получить учётные данные компонента. За отчёт заплатили $50 тысяч. Meta исправила проверку адресов и доступ к секретам.
Ещё $1000 выплатили за ошибку автообновления Muse для Mac, позволявшую атакующему с доступом к компьютеру запускать код с правами приложения. Ранее в клиенте для macOS нашли zero-day, через которую локальная программа могла перехватывать голосовые запросы и управлять агентом. Meta исправила ошибки. С апреля поступило более 630 сообщений об уязвимостях, из которых 64 признали обоснованными.
* Компания Meta и её продукты признаны экстремистскими, их деятельность запрещена на территории РФ.