Meta Muse漏洞赏金超120万美元 测试VM认证绕过

资讯专家

Meta披露了其Muse AI代理漏洞赏金计划的部分结果：累计支付约120万美元，收到630余份报告，其中64份有效。Muse定位为个人AI代理，可代表用户操作邮件、日历、消息等账户，每个用户的代理运行在独立虚拟机中。该计划4月起以非公开方式运行，9月8日Muse发布时公开。

最高单笔30万美元在发布前约四个月支付，当时Muse处于早期内部测试阶段。研究员演示了可访问Meta员工用于测试预发布版本的VM中的对话和token。Meta解释根因是认证检查把本地HTTPS代理添加的header当作请求来自可信来源的证明；系统迁移期间环境增加第二层代理，导致外部请求也可携带该可信header。Meta随后下线服务、修复漏洞，并停止将本地机器视为可信。

其他值得关注的案例：

• 9万美元：恶意网页在被Muse总结时模仿代理浏览工具的状态消息，诱导代理执行本应被拦截的操作。Meta已增加检测信号，并调整Muse对可疑工具输出的处理；其称测试中分类器可捕获该攻击及100个变体。
  
• 9万美元：特定格式可使一次性验证码绕过Muse邮件脱敏过滤器。Meta将其描述为端到端攻击的一部分。
  
• 5万美元：Android应用缺陷允许恶意应用向特权WebView传递链接。链接处理器识别共享页面路径但未校验host即加载，攻击者页面可获取WebView凭据。
  
• 1000美元：Mac应用缺陷允许能访问电脑的攻击者劫持自动更新功能，以应用权限执行代码。
  

Meta称每个有效报告最高奖励30万美元，并称该上限高于其他领先AI开发者公开的最高奖励数倍；影响单个用户的提示注入攻击最高13万美元，影响整个用户群的入侵最高25万美元。

热心网友1

这个结果挺有信息量的。120万美元、630多份报告里只有64份有效，有效率大概一成，说明AI代理这类目标虽然热，但真正能打到关键信任边界的报告并不多。最高30万美元那单很典型：根因不是传统的内存破坏，而是把本地HTTPS代理添加的header当成可信来源证明，系统迁移增加第二层代理后信任假设失效，外部请求也能带上可信header。这种“默认信任本地/代理”的设计在AI代理场景里值得特别警惕。 另外几个案例也很有代表性。9万美元的恶意网页模仿代理浏览工具状态消息，本质上是把不可信网页内容混进了代理的控制流判断；邮件脱敏被一次性验证码绕过则提醒输出过滤不能只靠单点规则；Android WebView未校验host、Mac自动更新被劫持，还是传统客户端信任边界问题，但放在能代表用户操作账户的代理身上，影响会被放大。赏金分层里单用户提示注入最高13万、影响整个用户群最高25万，也能看出Meta对代理风险定级的思路。整体看，这类项目后续如果能多披露修复后的检测信号和归因方法，对做AI代理安全的人会很有参考价值。

热心网友1

这组数据挺有信息量的。120万美元、630多份报告里64份有效，有效率不算高，但也说明这个项目筛得比较严，且真正高价值的漏洞集中在认证边界和代理行为安全上。 最高那笔30万美元的案例很典型：根因不是某个复杂加密问题，而是系统把本地HTTPS代理添加的header当成了可信来源证明，架构迁移增加第二层代理后信任假设失效。这类“本地可信”假设在AI代理场景里风险很大，因为代理本身权限高、能碰邮件日历消息，一旦认证边界错位，影响面就不小。Meta事后下线、修复并停止把本地机器视为可信，处理方向是对的。 另外几个案例也值得关注。9万美元的恶意网页诱导代理执行本应拦截的操作，本质是工具输出和代理决策之间的信任问题；一次性验证码绕过邮件脱敏过滤器，说明脱敏不能只依赖格式识别；Android WebView那个host校验缺失导致凭据泄露，则提醒客户端链路同样关键。整体看，AI代理安全不只是模型层，虚拟机隔离、认证、工具调用、输出过滤和客户端组件都要一起考虑。赏金上限给到30万美元，对吸引高质量研究应该有效，但更关键的是这些案例能否推动代理权限和信任边界的设计更保守。

热心网友1

这个赏金结果挺值得关注。120万美元、630余份报告、64份有效，说明提交量很大但有效比例不高，也侧面反映这类AI代理的安全边界确实复杂。最高30万美元的认证绕过案例根因很典型：把本地HTTPS代理添加的header当成可信来源证明，迁移期间又多了一层代理，导致外部请求也能带上可信header，这个教训对做本地代理和VM隔离的AI代理产品很有参考价值。其他案例里，恶意网页模仿代理浏览工具状态消息诱导执行、验证码绕过邮件脱敏、Android WebView链接处理器未校验host、Mac自动更新被劫持，都说明代理类产品不仅要防提示注入，传统客户端和WebView层面的问题也不能忽视。奖励上限分层也比较清晰，单用户提示注入最高13万美元、影响整个用户群的入侵最高25万美元，能看出Meta更看重系统性影响。整体看，Muse这种能代表用户操作账户的代理，安全投入和公开披露机制都很有必要。