Eine versteckte Einstellung machte Metas Muse zur Hintertür
Sicherheitsforscher Patrick Wardle hat gezeigt, wie sich Metas KI-Agent Muse auf dem Mac über eine undokumentierte Einstellung kapern lässt – inklusive Diktat-Mitschnitt, Prompt-Injection und geklautem Login-Token. Meta hat binnen eines Tages gepatcht, streitet aber weiter darüber, wie gefährlich die Lücke wirklich war. Fast zeitgleich legte Meta offen, dass jeder Muse-Nutzer einen kompletten Ubuntu-Rechner in der Cloud bekommt.
Pascal Eugster
GRÜNDER & ENTWICKLER
26. SEPTEMBER 2026
3 MIN. LESEZEIT
INHALT
INHALT
in
PARTNER · INOO GMBH
Wie viel KI verträgt dein Betrieb? In 30 Minuten Klartext.
Kostenloses Erstgespräch — herstellerneutral, direkt aus dem Rheintal.
Gespräch buchen →
DAS WICHTIGSTE IN KÜRZE
Wie sicher ein KI-Agent ist, entscheidet nicht die Architektur auf der Folie, sondern die Summe der Rechte, die du ihm gibst.
Der macOS-Sicherheitsforscher Patrick Wardle hat am 21. September einen Proof-of-Concept veröffentlicht, mit dem sich Metas KI-Agent Muse auf dem Mac übernehmen liess: Eine undokumentierte Einstellung namens endo_voyager_dictation_endpoint legt fest, wohin diktierte Prompts geschickt werden — und jedes Programm, das unter deinem Benutzerkonto läuft, konnte sie ohne zusätzliche Rechte umbiegen. Meta hat die Möglichkeit laut 9to5Mac binnen rund eines Tages per Hotfix entfernt, bestreitet aber bis heute, dass es sich um einen Remote-Exploit handelte.
Ein Schalter, über 50 Kommandos
Zeigt die Einstellung auf einen Server des Angreifers, landen Sprachaufnahme und Text dort statt bei Meta. Das reicht laut Wardles eigener Dokumentation für drei Dinge: diktierte Prompts mitlesen, eigene Anweisungen einschleusen (Prompt Injection — der Agent hält den fremden Befehl für deinen) und das Auth-Token abgreifen, mit dem sich Muse anschliessend direkt fernsteuern lässt. Muse stellt über 50 Kommandos bereit; sein Proof-of-Concept bildet nur einen Teil davon nach.
Weil das Token geräteübergreifend gilt, blieb es nicht beim Mac: Gegenüber The Hacker News schilderte Wardle, wie er damit die Muse-App auf seinem eigenen iPhone anwies, den Standort zu melden und einen Bluetooth-Scan der Umgebung zu fahren.
Lokal oder remote — wer hat recht?
Genau hier liegt der Streit. Wardles Begleittext sagt selbst unmissverständlich: «This is a local attack» — ein Angreifer muss bereits Code auf deinem Mac ausführen können. Das ist Metas Argument. Wardles Gegenargument ist der Lieferweg: Per — der Masche, bei der dich eine präparierte Website dazu bringt, einen einzigen Befehl ins Terminal zu kopieren — lässt sich genau dieser erste Schritt aus der Ferne erledigen. Laut 9to5Mac ist ClickFix inzwischen der häufigste Weg, wie Macs überhaupt infiziert werden.
