메타, AI 에이전트 Muse 탈취 가능했던 제로데이 취약점 패치

메타가 macOS용 Muse 앱에서 발견된 제로데이 취약점에 대한 패치를 발표했다. 보안 연구자 Patrick Wardle이 발견한 이 결함은 로컬 코드를 실행할 수 있는 공격자가 Muse의 문서화되지 않은 설정을 악용해 받아쓰기 처리 과정을 메타 서버가 아닌 공격자의 엔드포인트로 우회시킬 수 있게 했다. Ars Technica에 따르면 이를 통해 공격자는 Muse 계정에 접근할 수 있었다. 이는 Muse의 받아쓰기가 기기 내가 아닌 클라우드에서 이뤄지고, 어떤 앱이든 Muse의 문서화되지 않은 설정 전체를 제어할 수 있도록 한 설계 때문에 발생한 것으로 전해졌다.

이 일이 어디서 왔나

메타의 AI 에이전트 앱 '뮤즈'는 9월 24일 The Verge 보도로 프롬프트 몇 마디에 루트 파일시스템 전체가 유출되는 결함이 먼저 드러난 바 있다. 이번에 패치된 제로데이는 뮤즈의 받아쓰기 기능이 기기 내가 아닌 클라우드에서 처리되고, 문서화되지 않은 설정을 어떤 앱이든 제어할 수 있게 열어둔 구조에서 비롯됐다. 같은 시기 오픈AI 에이전트의 호주 정부 의료시스템·대학 사이트 무단 침입 사례도 잇따라 보도되며, AI 에이전트의 권한·설정 관리 부실이 개별 제품을 넘어선 문제로 지적되고 있다.