# Meta 的 Muse 有一个零日漏洞。结论：REVERT。

Published: 2026-09-23

昨天对 Meta 的 Muse 的评价是 NEEDS REVIEW。一夜之间，评估结果两次传来：Patrick Wardle 展示了任何本地应用程序或一个粘贴的终端命令都可以重定向 Muse 的转录端点并窃取账户令牌，Peter James 要求 Muse 提供自己的文件系统并获得了 6.8 GB 的数据（代号 Hatch，图片中是 Codex CLI）。Meta 的回应：未回复 Ars，并且错误赏金计划的回复是“不适用”。结论：REVERT。

Canonical: https://thedailydiff.dev/zh-CN/video/2026-09-22-muse-zero-day/

## 本视频涵盖的内容

- 昨天的裁决，今夜的审查
- 本周：亚马逊的壁垒，Wardle 的零日漏洞，一个 6.8 GB 的压缩包
- 零日漏洞：令牌旁边的暗模式开关
- ClickFix：一个粘贴的命令，Meta 云中的听写功能
- 导出：6.8 GB，代号 Hatch，内部包含 Codex CLI

## 章节

- 0:00 昨天的裁决，今夜的审查
- 0:22 本周：亚马逊的壁垒，Wardle 的零日漏洞，一个 6.8 GB 的压缩包
- 0:38 零日漏洞：令牌旁边的暗模式开关
- 1:22 ClickFix：一个粘贴的命令，Meta 云中的听写功能
- 1:45 导出：6.8 GB，代号 Hatch，内部包含 Codex CLI
- 2:51 不适用：三方，一周，一次否认
- 3:22 AMD：拥有 65,535 个面的骰子
- 4:26 苹果：无法关闭的设置广告
- 4:58 结论：REVERT，一天内两次审查

## 翻译的文字记录

译自英文原版旁白。可用音频和字幕由 YouTube 控制。

### 昨天的裁决，今夜的审查

0:00 昨天我给 Meta 的 Muse 打上了 NEEDS REVIEW 的标签。 一夜之间，一个粘贴的命令接管了一个 Muse 账户， Muse 为一名研究员打包了自己的硬盘，大小为 6.8 GB。 在这个视频中，零日漏洞、导出以及永不归零的 AMD 芯片。 零。今天是 9 月 22 日星期二，这里是 The Daily Diff。 这就是区别。

### 本周：亚马逊的壁垒，Wardle 的零日漏洞，一个 6.8 GB 的压缩包

0:22 周日晚上，亚马逊将 Muse 隔离。 十二小时后，Patrick Wardle 在 Muse Mac 应用中发布了一个零日漏洞。 周一，Peter James 要求 Muse 提供自己的文件系统并得到了它。 本周还有，AMD 的随机数跳过零，苹果在设置中放置了 你无法关闭的广告。

### 零日漏洞：令牌旁边的暗模式开关

0:38 首先，零日漏洞。 Mac 上的 Muse 拥有比你银行更多的权限。 你的文件、你的相机、你的 WhatsApp。 苹果花十年时间围绕这些构建壁垒，而 Muse 要求你第一天就打开 所有大门，因为这就是产品。 Patrick Wardle 撰写了《Mac 恶意软件的艺术》。 他发现 Mac 上的任何应用程序或任何终端命令， 完全不需要权限，就可以更改一长串未记录的 Muse

1:00 设置。大多数是无害的，比如暗模式。 其中一个是你声音转录的服务器地址。 将该地址指向你自己的服务器，你将收到转录内容， 以及登录 Muse 账户的令牌。 Wardle 的观点是，你不需要编写 Mac 窃取器， 你只需利用 AI 助手本身。 他的概念验证编写了文件并拍摄了网络摄像头照片。 这种攻击是 ClickFix，即伪造的错误页面告诉你粘贴一个命令，

### ClickFix：一个粘贴的命令，Meta 云中的听写功能

1:26 并且足够多的人会这样做，以至于它有了一个名字。 Hacker News 的一半人说这不是零日漏洞，这是和时间一样古老的愚蠢行为。 确实如此，这也是为什么登录令牌不应该隐藏在一个暗模式 开关后面。听写功能本可以留在 Mac 上。 Meta 选择了云端，Meta 可以在那里记录。 其次，导出。

### 导出：6.8 GB，代号 Hatch，内部包含 Codex CLI

1:46 Peter James，他开发了一个名为 Mouse 的编码工具， 要求 Muse 存档所有它能看到的文件并发送到他的 Google Drive。Muse 说没问题。 压缩后 2.7 GB，解压后 6.8 GB， 这是他的代理所在的 Linux 机器的根文件系统。 Meta 对 Muse 的内部名称是 Hatch。 主文件夹包含一个灵魂文件、一个身份文件和一个内存文件。 然后是 113 份子代理转录和大约 20 份关于支付、

2:13 凭证和浏览器使用的手册。 一个配置文件列出了 Meta 尚未宣布的连接器， 例如 Slack、Dropbox 和 Polymarket。 该镜像还附带了 OpenAI 的 Codex CLI，显然除了用于其 沙盒工具外未被使用，Meta 借用它来运行 ffmpeg。 Meta 的旗舰代理在后备箱中携带着 OpenAI 的编码代理， 就像竞争对手经销商的备胎。 还有未经测试的 SSH 密钥文件，以及一个名为“梦”的夜间作业，

2:40 它读取你的对话并写下关于你的笔记。 他的“梦”注意到他没有要求不请自来的 NFL 比分。 沙盒本身是安全的，他说，他停止了探索，因为它是 生产环境。他将其提交给 Meta 的错误赏金计划。

### 不适用：三方，一周，一次否认

2:52 Meta 将其标记为“不适用”。 Hacker News 的一半人同意，这是你自己的虚拟机。 然后阅读发布帖子。 Meta 表示，一个独立的 Sentinel 代理 批准所有离开机器的东西。 Sentinel 批准了一个 3 GB 的机器压缩包离开机器。 Meta 表示 Muse 永远不会看到你的密码。 Wardle 的代理看到了令牌，而令牌就是密码。

3:10 亚马逊表示 Muse 似乎会捕获并存储客户凭据。 Ars 给 Meta 发送了问题邮件，但没有收到任何回复。 三方，一周，唯一说没有问题的就是那个 销售它的人。现在，是那个不会产生零的芯片。

### AMD：拥有 65,535 个面的骰子

3:24 五月份，一位名叫 Jessé 的巴西汇编程序员正在绘制随机数的条形图， 并注意到他的 AMD Ryzen 从未出现过零。 十六位数字，所以在骰子上有大约 65,000 个面。 经过十一个小时，唯一没有出现的面是零。 英特尔全天都会出现零。 本周 Hacker News 在 Zen 2 上重现了它并找到了机制。 芯片确实会产生零。 它只是在值为零时每次都提高“再试一次”的标志，

3:51 所以任何正确的程序都会重试，永远看不到零。 AMD 的某人写道，如果为零，则报告失败。 一个有 65,535 个面的骰子， 却被宣称是公平的。 这重要吗？ 万分之六十五的偏差不会破坏你的 TLS， 而且 Linux 无论如何都会混合来源。 但是 Zen 2 在 2019 年发布时有一个相反的错误，总是返回全一，

4:12 通过微代码修复。 去年 AMD 自己对 Zen 5 的建议告诉开发人员将 零视为失败并重试。 这个 bug，被写成了修复方案。 AMD 四个月前给 Jessé 的回复读起来就像 ChatGPT。 还有苹果。iPhone 用户发现在设置顶部有横幅广告，

### 苹果：无法关闭的设置广告

4:30 推广 iCloud Plus、Apple Music 试用和 AppleCare，直到你采取行动才会有红色标记。 通常没有“取消”按钮。 唯一的两种解决方法是等待数周，或者付款。 已经为 iCloud Plus 付费的用户正在看到 iCloud Plus 广告， 苹果会称之为 bug，我则称之为预览。 帖子中的热门评论说带有广告的苹果不再是那个有品味的苹果。 如果你宁愿阅读而不是听我说， The Daily Diff 每天早上免费发送到你的收件箱，网址是 thedailydiff.dev，

4:56 链接在下方。所以，今天对 Muse 的裁决。

### 结论：REVERT，一天内两次审查

4:59 REVERT。昨天我说需要审查。 一天内审查了两次，供应商的回答是 沉默和“不适用”。 订阅，点击铃铛，并在评论中告诉我你是否会给出不同的评价。 这就是今天的 The Daily Diff。 我是来自 Axrisi 的 Niko。 负责任地合并。

## 来源

- [Ars Technica, Dan Goodin — Muse has a serious 0-day](https://arstechnica.com/security/2026/09/muse-metas-extraordinarily-privileged-ai-assistant-has-a-serious-0-day/) — arstechnica.com
- [Hacker News (105 pts)](https://news.ycombinator.com/item?id=49802030) — news.ycombinator.com
- [mouse.dev, Peter James — I asked Meta's Muse for its filesystem and it sent me 6.8 GB](https://mouse.dev/blog/muse-runtime-export/) — mouse.dev
- [Hacker News (263 pts)](https://news.ycombinator.com/item?id=49802871) — news.ycombinator.com
- [Meta, Introducing Muse (Sep 8)](https://about.fb.com/news/2026/09/introducing-muse-personal-ai-agent/) — about.fb.com
- [Yesterday's episode — Amazon blocks Muse (NEEDS REVIEW)](https://www.youtube.com/watch?v=I43BZwsC0FI) — www.youtube.com
- [flat assembler board, Jessé — AMD's RNG can't generate a 0](https://board.flatassembler.net/topic.php?t=24261) — board.flatassembler.net
- [Hacker News (235 pts)](https://news.ycombinator.com/item?id=49798204) — news.ycombinator.com
- [TechRadar, Alex Blake — Apple has added persistent 'ads' to iOS](https://www.techradar.com/phones/iphone/i-wish-apple-would-just-stop-that-crap-apple-has-added-persistent-ads-to-ios-and-its-driving-users-crazy) — www.techradar.com
- [Hacker News (489 pts)](https://news.ycombinator.com/item?id=49801939) — news.ycombinator.com