نقص امنیتی در اپلیکیشن هوش مصنوعی Meta Muse؛ بدافزارهای محلی می‌توانند ترافیک صوتی را سرقت کنند

شرکت Meta در زمان عرضه اپلیکیشن دستیار هوش مصنوعی Muse در اوایل ماه جاری، مانور زیادی روی امنیت آن داد و به اتکای این اپلیکیشن بر ماشین مجازی Muse Secure VM اشاره کرد.

این غول فناوری با تکرار ادعاهای پیشین خود درباره حریم خصوصی در کسب‌وکار جمع‌آوری داده‌هایش، اعلام کرده بود: «هر فرد کنترل Muse خود را در دست دارد و میزان دسترسی آن را تعیین می‌کند.»

اما به نظر می‌رسد ادعاهای Meta درباره Muse کمی اغراق‌آمیز بوده است؛ یک مهاجم با قابلیت اجرای کد محلی می‌تواند به سطحی از دسترسی دست یابد که فراتر از انتظار کاربران این اپلیکیشن است.

پاتریک واردل (Patrick Wardle)، محقق امنیتی و بنیان‌گذار سازمان غیرانتفاعی Objective-See، یک اثبات مفهوم (PoC) با نام not-a-mused برای یک آسیب‌پذیری روز صفر محلی در نسخه macOS اپلیکیشن Muse توسعه داده است. این نقص به یک پردازش محلی فاقد دسترسی ویژه اجازه می‌دهد ترافیک مربوط به تبدیل گفتار به متن Muse را تغییر مسیر داده و به طور بالقوه از مجوزهای اعطاشده به اپلیکیشن سوءاستفاده کند.

واردل در مخزن این پروژه توضیح می‌دهد که Muse دارای یک تنظیم مستندنشده به نام endo_voyager_dictation_endpoint است. مهاجمی که کد محلی را اجرا می‌کند، می‌تواند بدون نیاز به دسترسی‌های خاص، این تنظیم را تغییر دهد تا ترافیک صوتی را به یک سرور تحت کنترل خود هدایت کند. این کار به طور بالقوه صوت کاربر و پرامپت‌های ارسال‌شده به مدل هوش مصنوعی در سرورهای پشتی را فاش می‌کند. این آسیب‌پذیری می‌تواند زمینه را برای تزریق پرامپت (Prompt Injection)، سرقت اطلاعات احراز هویت و سوءاستفاده از تمام دسترسی‌های اعطاشده توسط کاربر به Muse فراهم کند.

این آسیب‌پذیری برای یک مهاجم از راه دور قابل سوءاستفاده نیست و نیازمند قابلیت اجرای کد محلی است. به گفته واردل، نگرانی اصلی این است که این نقص به بدافزارهای محلی دسترسی بسیار گسترده‌تری نسبت به حالت عادی می‌دهد؛ در اصل، این یک آسیب‌پذیری افزایش سطح دسترسی (Privilege Escalation) محسوب می‌شود.

واردل در یک مصاحبه تلفنی، این وضعیت را به زندگی در یک ساختمان مسکونی تشبیه کرد و گفت: «صرفاً به این دلیل که یک همسایه بد وارد ساختمان می‌شود، به این معنا نیست که او به طور خودکار به تمام آپارتمان‌ها دسترسی دارد.»

وی معتقد است که شرکت Apple با فریم‌ورک TCC (مخفف Transparency, Consent, and Control) که دسترسی به داده‌های حساس در macOS را مدیریت می‌کند و همچنین با تفکیک سطح دسترسی، عملکرد بسیار خوبی داشته است. اما نگرانی او این است که اپلیکیشن‌های هوش مصنوعی این موانع را از بین می‌برند، زیرا این ابزارها برای عملکرد خود درخواست دسترسی‌های بسیار گسترده‌ای به داده‌ها و سیستم‌ها دارند.

این محقق امنیتی درباره اپلیکیشن‌های هوش مصنوعی می‌گوید: «آن‌ها بسیار کاربردی و توانمند هستند، اما اگر بخواهید واقعاً مفید باشند، باید دسترسی‌های بسیار زیادی به آن‌ها بدهید؛ به طوری که اساساً می‌توانند هر کاری را در کامپیوتر شما انجام دهند.»

به همین دلیل، او هشدار می‌دهد که این اپلیکیشن‌ها به طور بالقوه به یک نقطه شکست واحد (Single Point of Failure) تبدیل می‌شوند که کنترل‌های امنیتی سیستم‌عامل را در هم می‌شکنند.

واردل با طرح یک پرسش کلیدی افزود: «شرکت‌های هوش مصنوعی مدل‌های بسیار خوبی برای یافتن باگ‌ها دارند. آیا آن‌ها این مدل‌ها را روی اپلیکیشن‌های خودشان آزمایش نمی‌کنند؟ آیا امنیت اپلیکیشن‌های خودشان اولویت ندارد؟»

به گفته او، نرم‌افزارهای تشخیص و پاسخ نقطه پایانی (EDR) در macOS پیشرفت زیادی کرده‌اند، زیرا بخش عمده‌ای از برنامه‌ها دارای امضای دیجیتال هستند و به راحتی می‌توان پردازش‌های تاییدنشده را شناسایی و مسدود کرد. اما زمانی که ایجنت‌های هوش مصنوعی مجوزها و دسترسی‌های وسیعی دریافت می‌کنند، محصولات EDR نمی‌توانند تشخیص دهند که آیا دستورات از طرف کاربر صادر شده‌اند، یا از سوی یک ایجنت هوش مصنوعی و یا یک مهاجم مخرب.

واردل تاکید کرد که این ایجنت‌ها برای مفید واقع شدن به دسترسی نیاز دارند، اما آنچه در میان سازندگان اپلیکیشن‌های هوش مصنوعی جای خالی‌اش حس می‌شود، احساس مسئولیت در قبال سطح دسترسی‌هایی است که اپلیکیشن‌هایشان درخواست می‌کنند.

این محقق در ادامه افزود که Apple قابلیت تبدیل گفتار به متن محلی را روی دستگاه ارائه می‌دهد و اگر Meta از این API استفاده می‌کرد، چنین آسیب‌پذیری‌ای اصلاً وجود نداشت. با این حال، به نظر می‌رسد Meta استفاده از سرویس Apple را نادیده گرفته است که احتمالاً دلیل آن تمایل این شرکت به دسترسی مستقیم به داده‌های کاربران است.

وی در پایان گفت: «فکر می‌کنم تا حدودی طمع آن‌ها برای جمع‌آوری داده‌های کاربران، راه را برای این مشکلات باز کرده و سطح حمله (Attack Surface) را گسترش داده است. اما در نهایت، این شرکت‌های هوش مصنوعی در حال رقابت برای دستیابی به دستاوردهای بعدی هستند و حریم خصوصی و امنیت کاربران، جزو اولویت‌های آن‌ها نیست.»

شرکت Meta تاکنون به درخواست‌ها برای اظهارنظر در این باره پاسخی نداده است.