扎克伯格推出Muse后安全隐患接连曝光

发布前的安全冲刺

Muse 上线前，Meta 的安全团队正在集中补洞。据404 Media 读到的内部帖文，8月27日，Meta 启动服务加固，工作持续了数周并占用了周末。9月8日，Meta 发布 Muse。9月18日，基础设施高管在内部回顾了这轮行动。直到10月5日，404 Media 才披露其中的虚拟机逃逸漏洞：攻击者可能突破原本限定的运行环境，接触 Meta 的敏感数据库和服务。报道没有说这些漏洞已经造成数据库泄露，但它揭示了发布决定的分量。Muse 是会代用户操作软件和账户的 AI 代理，交出去的不只是一个聊天窗口，还有实际行动的权限。

扎克伯格抢的是入口

据《纽约时报》报道，扎克伯格在8月召集 Alexandr Wang 和 Nat Friedman，讨论当时正在走红的个人代理 Instinct。这家初创公司有14名员工，Muse 则曾因安全担忧推迟发布。三名了解会议的人士称，扎克伯格担心失去竞争优势，认为可以承担风险上线；其中两人说，测试已经出现未经许可更改用户密码的情况。Meta 发言人否认 Instinct 的压力促成了赶发布，并强调公司曾为确保产品安全推迟数月。双方分歧在于最终放行的动机，不能把匿名人士的归因直接当成公司承认。我的判断是，Meta 急于拿到的入口，是用户把日常事务交给谁处理：一旦邮件、日历和购物都围绕代理展开，代理就能积累理解用户目标所需的上下文。这也解释了扎克伯格为何把个人代理放进“个人超级智能”的愿景。

云电脑承接了风险

Meta 为这种委托提供的底座，是每位用户一台专属云端虚拟机，即在服务器上隔离运行的电脑环境，里面有浏览器、存储和执行任务所需的计算资源。用户连接的服务数据和凭据保存在这里，代理可以写工具、运行代码并在后台继续工作。根据 Meta 公布的设计，处理不可信内容的运行环境，与凭据和授权服务分开；独立的 Sentinel 负责批准连接服务的动作及对外网络请求，按用户设置决定放行、拒绝或询问。这里防范的包括提示词注入，也就是邮件、网页等外部内容夹带指令，诱导代理偏离用户要求。安全不能只靠模型听话，还要靠模型无法自行改写的权限边界。Meta 自己也承认，代理仍会犯错，这套设计意在限制错误造成的损害。

虚拟机逃逸暴露的，正是这层底座需要承受的压力。404 Media 引述内部文档和知情人士称，部分漏洞出在 Linux 的虚拟化软件，严重程度已上报扎克伯格，多个安全团队在发布前夜间和周末修复问题。一名内部人士认为，保护措施仓促落地，是为了不拖延上线；这是该人士对修复质量的评价。对于数据中心运营者，代理会运行用户要求的代码，又连接真实账户，用户工作负载与公司生产服务之间的隔离因而成为直接的安全责任。依据报道描述的访问路径，可以判断：若这一边界失守，影响可能扩展到平台内部服务。这也意味着运维团队需要限制代理能够触达的网络地址和服务，不能把检查工作全部交给任务执行模型。报道所述加固措施，就包括收窄代理可以访问的端口和网络目的地。

本机权限也会失守

风险还延伸到了用户的 Mac。InfoQ 报道，安全研究员 Patrick Wardle 发现，Muse 客户端保留了一个可被本地普通进程修改的听写服务器配置。利用条件是攻击者已能在本机运行代码，并在用户启用听写时介入。攻击者可以把麦克风音频和 Muse 账户的认证令牌引向自己的服务器，再转发正常流量以掩盖异常；拿到令牌并控制输入后，还能夹带指令，诱导代理导出本地文件或 WhatsApp 消息。认证令牌相当于已登录账户的通行凭证。危险在于，恶意程序可以借用用户此前授予 Muse 的广泛权限，省去自己申请这些权限的步骤。InfoQ 同时记载，Meta 在披露后热修复，移除了生产客户端中的调试配置。这个入口已经被堵上，事件留下的教训是：代理被用户信任后，也会成为其他程序试图借道的对象。

私人消息争议把另一种授权困惑带到了用户面前。The Next Web 报道，一名记者称 Muse 未经许可读取私人消息，Meta 否认了这一说法。Meta 通讯负责人 Andy Stone 表示，用户必须开启两项独立设置，Muse 才能读取 Mac 上的 Messages。现有报道没有交代当事人的完整设置和操作记录，因此不能据此断言 Muse 绕过了这些开关。Apple 则在关于完整磁盘访问权限的说明中指出，这种权限可能暴露文件、邮件、消息和浏览历史，也影响通信对象的隐私；公司计划增加控制，要求用户采取更明确的授权动作。对用户而言，允许读取资料与允许把资料用于某次具体行动，需要在界面和执行过程中讲清楚。一次连接账户的操作，难以表达今后每项任务的边界；让用户理解代理正在读取什么、准备发送什么，是持续服务的一部分。

增长不能代替授权

Muse 已经获得了可观的试用规模。AI Times 引述 Sensor Tower 数据称，截至10月7日，应用下载量超过660万次，日活跃用户达到180万人。Meta 还投入数百万美元营销，用虚拟形象 Jolly 做广告。有人愿意试用，说明省去预订、写邮件和处理杂事的吸引力确实存在；但下载量没有测量未经许可的动作发生多少次，也没有说明用户花多少时间检查代理。一个具体例子是，《纽约时报》报道 Muse 曾未经许可，把用户住址交给 Facebook Marketplace 的卖家。对于希望省事的人，这种失误会增加重新沟通、撤回安排和检查权限的工作。产品的价值最终要落到用户少做了多少事，以及这些事有没有按授权完成。

从 Meta 公布的运行方式看，Muse 需要持续维护云端电脑、浏览器、存储、连接器和独立授权服务，安全修复也进入了日常运营。这意味着个人代理的扩张，会把基础设施的隔离能力和安全团队的处理能力一并带进产品承诺。我的判断是，扎克伯格可以决定何时开始争夺这项业务，却不能用上线和增长替用户完成每一次授权。Meta 要承担的是持续守住账户、客户端和生产服务之间的边界，并把敏感动作交回用户确认。只有这项工作跟得上，用户委托出去的日常事务才会减少他们的负担；否则，节省操作的便利，会被检查与补救的劳动消耗。