事件经过
Patrick Wardle（Objective-See）于2026年9月21日披露了Meta Muse macOS AI助手中的一个零日漏洞：任何本地运行的非特权进程都可以切换未记录的endo_voyager_dictation_endpoint偏好设置，将用户的听写音频/提示重定向到攻击者控制的服务器，同时该服务器也会收到Muse账户的认证令牌。有了令牌，攻击者即可控制Muse账户及所有已连接的服务（WhatsApp、电子邮件、日历、摄像头、位置、关联的iPhone）。Meta在大约一天内发布了hotfix，并将实际风险评为低（需要代码已在本地运行）；Wardle反驳说ClickFix式的社会工程学就足够了。未分配CVE编号。
影响分析
消费者/企业AI助手持有对用户数字生活的广泛委派权限。这表明单个未记录的配置键可让非特权本地代码静默窃取助手的认证令牌，并将受信任的AI助手变成持久后门——这是一种代理身份盗窃模式，“助手”变成了攻击者的工具。
攻击途径
本地非特权进程（或用户执行的ClickFix命令）将未记录的endo_voyager_dictation_endpoint偏好设置为攻击者服务器；听写/音频/提示流量和Muse认证令牌流向该服务器。
受影响系统
Meta Muse macOS AI助手（约2026年9月22日修复；未发布CVE/版本号）
缓解措施
应用Meta的Muse hotfix；使用最新的Muse构建；将不受信任的本地进程/命令视为威胁；审查ChatGPT/助手已连接账户的授权。