Configuração oculta no assistente Meta Muse pode transformar o app em backdoor
O pesquisador Patrick Wardle publicou uma prova de conceito mostrando que malware já instalado em um Mac pode alterar uma configuração oculta do assistente Meta Muse e redirecionar o áudio de ditação do usuário para um servidor do atacante. A partir daí, o atacante consegue ler os comandos ditados, injetar instruções extras que o Muse executa como se fossem do dono do dispositivo e roubar o token de sessão para sequestrar o assistente também em outros aparelhos vinculados à mesma conta.
Em 21 de setembro de 2026, Patrick Wardle divulgou no GitHub a prova de conceito "not-a-mused", demonstrando que o aplicativo macOS do Meta Muse expõe um parâmetro de configuração oculto (o endpoint de ditação) que não é protegido contra alteração por outros processos rodando na mesma máquina com os privilégios do usuário logado.
O mecanismo é direto: malware já presente no Mac muda esse parâmetro para apontar para um servidor controlado pelo atacante. Quando o usuário aciona o microfone e dita um comando ao Muse, áudio e texto passam a ir para esse servidor em vez de para a Meta. Isso dá ao atacante duas capacidades: ler tudo o que foi ditado e, mais grave, injetar instruções adicionais que o Muse passa a executar com a mesma autoridade que o usuário legítimo concedeu ao assistente. Como o app permanece assinado e íntegro, comandos maliciosos se misturam a comandos legítimos e tendem a não disparar alarmes de software de segurança tradicional.
O impacto prático depende do quanto o usuário já delegou ao Muse — e a proposta de valor do produto é justamente ampla delegação: acesso a arquivos, e-mail, mensagens, calendário, compras e automação residencial. Roubar o token de sessão do assistente permite ainda propagar o controle para outros dispositivos vinculados à mesma conta, como um iPhone, ampliando o raio de ação de um comprometimento que começou em um único Mac. Até a divulgação, a Meta não havia lançado correção, e a recomendação de Wardle foi revogar permissões desnecessárias ou desinstalar o app.
O caso ilustra um risco estrutural de assistentes pessoais de IA com permissões amplas: uma falha de configuração local, que em um app comum teria impacto limitado, vira aqui um vetor de escalonamento de privilégio com alcance multi-dispositivo, porque o valor do produto depende de reunir muita autoridade em um único agente.