Meta Muse 登顶苹果榜单背后：能帮你跑腿的AI，为什么一个链接就能被永久劫持？

这几天，Meta 新发布的 AI 助理 Muse 冲到了苹果 App Store 下载榜第一。跟咱们平时用的大模型对话工具不一样，Muse 真正切中了“Agent（智能体）”的定位：它能在后台帮你回邮件、订餐厅、甚至直接下单买东西。

很多人觉得科幻电影变成了现实，但就在发布不到两周，安全研究员爆出了 Muse 的一个零日漏洞（0-day）。在 Mac 平台上，黑客只需要诱导你点一下（即 ClickFix 攻击），就能永久劫持你的 Muse 账户。

今天咱们拆解一下，这个听起来不可思议的漏洞，在技术机制上到底是怎么发生的。

从 Chatbot 到 Agent：权限的跨越

要理解这个漏洞，得先看看 Muse 和普通大语言模型的区别。

普通的对话模型，权限边界很清晰。你输入文本，它返回文本，所有的操作都发生在沙箱环境里。哪怕你用提示词注入（Prompt Injection）骗它说出一些违规的话，损失也仅仅停留在对话框里。

但 Muse 是一个 Agent。为了能“帮你做事”，它在系统里拥有极高的特权。它直接绑定了你的 Facebook、Instagram 账户，并且持有多个第三方应用的长期会话令牌（Session Token）。这就好比你不仅雇了一个助理，还把家里的钥匙和信用卡的免密支付都交给了他。

ClickFix 漏洞的执行链路

这次爆发的 ClickFix 漏洞，正是瞄准了这些被过度信任的 Token。攻击流向大概是这样的：

1. 诱导触发：黑客通过钓鱼邮件或者伪造的网页，诱导用户点击一个看起来很正常的按钮。这个操作实际上利用了浏览器的剪贴板权限，或者直接触发了一个系统级的协议。
2. 劫持输入流：在 Mac 版本中，Muse 为了能随时听候差遣，开启了一些底层的系统监听功能（比如全局的语音听写或者快捷键注入）。漏洞利用了 Muse 某处隐藏设置的缺陷，把恶意的指令流直接注入到了 Muse 的执行队列里。
3. 窃取 Token：被注入的指令并没有让 Muse 去发垃圾信息，而是让它将自身携带的长期鉴权 Token 发送到了黑客控制的服务器上。

最致命的一点是，系统和 Muse 都认为这个操作是“合法”的。因为从系统的角度看，这只是 Muse 在执行一个普通的网络请求；从 Muse 的角度看，这是来自当前登录用户（其实是恶意注入）的合法指令。

一旦 Token 被传出，黑客就在远端获得了你 Muse 账号的永久控制权。因为这种 Token 的生命周期通常很长，黑客可以绕过常规的密码修改，在后台悄悄查阅你的邮件、动用你绑定的支付方式。

给开发者敲响的警钟

平时咱们做后端开发或者做 AI 落地方案，往往把精力放在怎么让 Agent 变聪明、能调用更多外部 API 上。Muse 这次翻车暴露了当前 Agent 架构的一个通病：权限隔离做得太粗糙。

当一个 AI 拥有实际执行权时，它就不再是一个单纯的文本生成器，而是一个具备高危操作能力的系统进程。作为开发者，在设计 Agent 系统时必须明确几件事：

• 最小权限原则：Agent 不应该持有全局的、永久的 Token。每次涉及资金、隐私等高危操作时，必须要求用户进行二次确认（比如生物识别或动态验证码）。
• 隔离执行环境：把大模型的推理逻辑和工具调用（Tool Calling）的鉴权隔离开。坚决不要让模型直接接触到底层的 Session Token。
• 异常行为风控：如果一个平时只帮你查天气的 Agent，突然在凌晨请求导出你的全部通讯录，风控系统必须能把它拦截下来。

Meta 目前已经在紧急加固安全警告并修补漏洞。如果你这几天刚好下载了 Mac 版的 Muse，建议先暂停使用，或者断开敏感的第三方应用授权，等官方的安全更新推送。AI 帮我们跑腿的日子确实来了，但在享受便利之前，还得先把锁给配好。