Une grave faille de sécurité a été découverte dans Muse, l’assistant d’intelligence artificielle de Meta capable d’effectuer des actions au nom de l’utilisateur. La faille, identifiée par le chercheur en sécurité de macOS Patrick Wardle, permettait à des logiciels malveillants présents sur l’ordinateur de s’emparer de la clé d’authentification de Muse et de diriger l’agent avec les autorisations déjà accordées. Lors des démonstrations d’attaque, il était possible de prendre des photos et d’ajouter des fichiers malveillants sans afficher d’avertissement évident à l’utilisateur, selon les informations rapportées. Le problème venait du fait que l’adresse du serveur auquel étaient envoyées les commandes vocales pouvait être modifiée via un réglage invisible pour l’utilisateur, sans autorisation macOS supplémentaire. Meta a indiqué que cette opération ne pouvait pas être réalisée indépendamment à distance et qu’un code malveillant devait être préalablement présent sur l’appareil. Les actions pouvaient donc sembler provenir de l’application Muse considérée comme fiable par le système d’exploitation. L’entreprise a publié une mise à jour urgente pour macOS.
Pourquoi c’est important
Cet incident montre que, pour les outils d’intelligence artificielle agissant au nom de l’utilisateur, les limites de sécurité sont définies non seulement par la manière dont les commandes sont interprétées, mais aussi par la façon dont les informations d’authentification et les autorisations du système d’exploitation sont protégées. Le risque concerne moins une attaque accessible à tous à distance que les utilisateurs de Muse dont l’appareil contient déjà un logiciel malveillant ; dans ce cas, l’attaquant peut détourner les autorisations existantes sans avoir besoin d’en obtenir de nouvelles. La possibilité de prendre des photos et d’ajouter des fichiers sans avertissement évident montre que le contrôle exercé par l’utilisateur constitue une couche de sécurité distincte pour ce type d’outil. Même si la mise à jour urgente répond au problème, la prévention de l’exploitation des réglages invisibles pour l’utilisateur et des applications considérées comme fiables reste un axe de contrôle clairement identifié.
Contexte
Meta n’est pas un nouveau nom dans les archives de FikirPilot : au cours des 90 derniers jours, nous avons publié 29 articles mentionnant ce nom ; le plus récent date du 26 septembre 2026.