Новые уязвимости Muse

Перед запуском Muse в Meta нашли несколько уязвимостей класса KVM escape, то есть агент потенциально мог выбраться из своей виртуальной машины и добраться до внутренней инфраструктуры компании.

По данным 404 Media, как минимум одна из дыр позволяла обычному пользователю получить доступ к чувствительным внутренним базам.

Проблема дошла до Цукерберга, команды безопасности работали ночами и по выходным, а укреплять защиту начали всего за 11 дней до релиза.

Баги сами по себе - обычное дело, но с агентами появляются вопросы, которые мы раньше особенно не задавали.

Muse работает внутри отдельной виртуальной машины и получает доступ к почте, календарю, браузеру, мессенджерам и другим сервисам пользователя.

Выходит, Meta запускает внутри своей инфраструктуры программу, которой любой внешний пользователь может давать очень широкий набор задач.

Если хакер привык атаковать облачные сервисы снаружи, то здесь ему фактически выдают маленький компьютер внутри облака компании и просят не выходить за пределы песочницы.

KVM escape - не единственный пример. После запуска исследователь Патрик Уордл нашёл уязвимость нулевого дня, через которую сторонние приложения и команды из терминала могли управлять Muse.

Другой пользователь заставил агента выгрузить не только своих подписчиков в Instagram, но и подписчиков своих подписчиков, хотя такого вообще не должно было быть разрешено.

По отдельности каждый такой баг легко исправить, но вместе они показывают, что компании начали пускать внутрь своей инфраструктуры потенциально враждебных автономных пользователей.

При этом AI ещё и удешевляет атаку. Агент может сам исследовать окружение, писать эксплойты, разбирать ошибки, пробовать новые варианты и искать доступные сервисы.

Так что AI одновременно и то, что приходится защищать, и инструмент, который помогает защиту ломать.

Meta платит до $300 тыс. за найденный побег из виртуальной машины Muse - это максимальная награда по продукту.

Похоже, самым сложным во внедрении агентов станет безопасно делегировать им полномочия: изоляция в песочнице, ключи доступа с коротким сроком жизни, точечные права, сетевая изоляция, движки политик и аварийный выключатель.

Агенты Claude, ChatGPT, Meta и Grok уже достаточно умные и быстро получают доступ к вашим аккаунтам, инструментам и подпискам.

Но что произойдёт, когда агент сделает то, чего вы от него совсем не ждали, у меня пока ответа нет.

Недавно я тестировал агента Meta, а теперь отобрал у Muse все права и удалил его с телефона))

@maxvotek | linkedin | substack