Un zero-day transforme Muse, l’assistant IA de Meta, en porte dérobée sur macOS
Le 22 septembre 2026, le chercheur Patrick Wardle a montré qu’un réglage non documenté de Muse, l’assistant IA de Meta, permet à une simple commande locale de rediriger la dictée vocale et de voler le jeton d’authentification du compte. Réduisez les permissions accordées aux agents IA et attendez le correctif de Meta avant d’en déployer de nouveaux.
22 septembre 2026. Le chercheur Patrick Wardle révèle un zero-day dans Muse, l’assistant IA de Meta. « L’ultime porte dérobée. » Son verdict, sans détour. « Built from the ground up for privacy and security. » La promesse que Meta avait faite pour Muse. Pourquoi c’est important : les assistants IA ne se contentent plus de répondre à des questions — ils agissent, se connectent à des comptes et détiennent des permissions système, et c’est précisément cette surface qui se retourne contre l’utilisateur.
Muse est l’assistant de Meta capable de gérer des rendez-vous, des formulaires, des achats, des documents, et de se connecter à WhatsApp, à la messagerie, aux calendriers et aux réseaux sociaux. Sur macOS, il peut recevoir des permissions d’accès aux fichiers, au microphone, à la caméra, à la localisation et aux calendriers. Autrement dit, Muse n’est pas une application de plus : c’est un agent qui concentre, derrière une seule interface déjà authentifiée, l’accès à plusieurs services et à des ressources protégées du système.
Un réglage non documenté qui fait basculer la dictée
La faille décrite par Wardle tient en une phrase. Une application locale — ou une simple commande dans le terminal — peut modifier un réglage de configuration non documenté de Muse qui contrôle le serveur de transcription de la dictée. En redirigeant ce trafic de dictée vers un serveur contrôlé par l’attaquant, celui-ci peut capturer les invites vocales et, surtout, récupérer le jeton d’authentification du compte Muse de la victime.
Le point décisif est la nature du bug. Ce n’est pas une vulnérabilité d’exécution de code à distance qui compromettrait un Mac propre depuis l’extérieur. L’attaquant doit d’abord disposer d’un moyen d’exécuter du code localement — un malware, une application malveillante ou de l’ingénierie sociale. Mais, comme l’ont montré les campagnes d’infostealer qui visent désormais macOS, cette première étape est loin d’être impossible.
Pourquoi un agent devient « l’ultime porte dérobée »
Le terme choisi par Wardle n’est pas une hyperbole. Un infostealer classique doit localiser lui-même les identifiants du navigateur, les documents, les historiques de discussion et tout le reste. Un agent IA compromis abaisse cette barrière : il regroupe l’accès à plusieurs services et à des permissions système derrière une interface déjà authentifiée. Le vol du jeton d’authentification ne donne pas un fichier — il donne le compte, avec ses connexions et ses permissions.
La promesse de confidentialité de Meta rend le contraste plus net. Muse a été présenté comme un assistant « conçu dès le départ pour la confidentialité et la sécurité ». Or l’existence d’un réglage non documenté, modifiable par une simple commande locale, contredit cette posture. La faille ne tient pas à un défaut de chiffrement isolé : elle tient à l’architecture de permissions d’un agent qui doit pouvoir agir au nom de l’utilisateur, et qui devient par là même une cible.
OWASP, la fondation qui publie les référentiels de sécurité applicative, liste d’ailleurs parmi les risques majeurs des agents IA l’injection de prompt, l’abus d’outils, l’élévation de privilèges, l’exfiltration de données, l’autonomie excessive, l’empoisonnement de mémoire et l’exposition de données sensibles. Le cas Muse coche plusieurs cases à lui seul.
Ce que cela dit des agents IA
Le bug de Muse illustre un décalage de maturité. Les applications classiques ont passé des années à apprendre le moindre privilège : on ne donne à un programme que ce dont il a besoin. Les agents IA, eux, reçoivent d’emblée des grappes de permissions — fichiers, micro, caméra, calendriers, comptes — parce que c’est ce qui les rend utiles. La sécurité, dans ce modèle, repose sur la confiance dans le fait que l’agent n’obéira qu’à son propriétaire. Wardle vient de montrer que cette confiance peut être contournée par un réglage que personne ne connaissait.
La leçon n’est pas « désinstallez tous les agents ». C’est que les agents doivent être soumis à un standard de sécurité plus exigeant que les applications ordinaires, précisément parce qu’ils détiennent plus. Un agent ne devrait pas pouvoir transformer une instruction non fiable en action sensible sans contrôle intermédiaire, et il ne devrait jamais recevoir plus d’accès que la tâche ne l’exige.
Ce que vous devez faire
Le conseil de Wardle tient en deux mots : « Please don’t install. » En l’état, la recommandation la plus sûre est de ne pas installer Muse tant que Meta n’a pas corrigé le réglage incriminé et documenté son modèle de permissions.
La même prudence s’applique aux autres agents IA. Concrètement, cela passe par quelques réflexes. Ne pas accorder à un nouvel agent un accès simultané à la messagerie, aux calendriers, au stockage cloud, aux moyens de paiement et aux permissions système. Revoir régulièrement les connexions qu’un agent ne justifie plus. Se méfier de l’injection de prompt : un agent ne reconnaît pas forcément une instruction malveillante glissée dans une page web, un document ou un courriel. Surveiller les comportements inhabituels — demandes de nouvelles permissions, réauthentification inattendue, partage de fichiers vers l’extérieur, actions non sollicitées.
# Sur macOS, lister les permissions TCC accordées à une application (exemple Muse)
# Le framework TCC stocke les autorisations dans la base de l'utilisateur :
sqlite3 ~/Library/Application\ Support/com.apple.TCC/TCC.db \
"SELECT client, service FROM access WHERE client LIKE '%Muse%';"Et, comme toujours, maintenir le système à jour et utiliser une protection anti-malware à jour pour empêcher l’exécution locale préalable dont ce zero-day a besoin.
TCC et jeton : pourquoi la combinaison est aussi dangereuse
Pour comprendre la gravité du bug, il faut saisir ce que macOS protège, et ce qu’il ne protège pas. Le système de permissions TCC (Transparency, Consent, and Control) encadre l’accès aux fichiers, au microphone, à la caméra, à la localisation et aux calendriers. Quand un utilisateur accorde à Muse l’accès au micro ou aux calendriers, cette autorisation est enregistrée dans la base TCC, et le système considère ensuite l’application comme légitime pour ces ressources.
Le zero-day contourne ce modèle d’une manière précise. Il ne cherche pas à escalader les permissions — il détourne un réglage qui pilote le serveur de transcription de la dictée. Une fois ce serveur pointé vers une machine adverse, tout ce que l’utilisateur dit à Muse — y compris du contenu potentiellement sensible — transite par l’attaquant. Et parce que Muse est authentifié auprès de Meta, le jeton d’authentification associé donne à l’attaquant l’accès au compte, avec ses connexions et ses permissions, sans avoir à voler un mot de passe.
La leçon de sécurité est structurelle. Le modèle TCC protège l’accès aux ressources, mais il suppose que l’application reste elle-même fidèle à son propriétaire. Un agent IA qui exécute des actions au nom de l’utilisateur, connecté à une douzaine de services, concentre tellement de capacités derrière une seule authentification qu’un unique réglage détourné suffit à le retourner. C’est exactement le risque que OWASP range sous l’autonomie excessive et l’exposition de données sensibles.
Verdict
Le zero-day de Muse n’est pas une compromission à distance, mais c’est un avertissement structurel. Si vous utilisez ou envisagez Muse sur macOS, ne l’installez pas tant que Meta n’a pas corrigé le réglage non documenté et publié un modèle de permissions clair. Si vous déployez des agents IA en entreprise, appliquez-leur le principe de moindre privilège que vous exigez de vos autres applications, auditez leurs connexions et traitez toute permission excessive comme une surface d’attaque. Un assistant qui peut tout faire au nom de son propriétaire est, par construction, la porte dérobée la plus rentable qu’un attaquant puisse espérer.