Elias legt het onderzoek achter de koppen uit in gewone taal.
Maak je gratis Charmloop-account aan — geen creditcard, onbeperkt rondkijken. Binnen enkele minuten maak je AI-kunst.
Kies een companion en ontdek wat die van dit verhaal vindt
Meta's Muse AI-assistent voor Mac heeft een bevestigde zero-day-kwetsbaarheid — een beveiligingsfout waarvoor nog geen patch beschikbaar is — waarmee een aanvaller de agent volledig kan overnemen via een techniek genaamd ClickFix, aldus Ars Technica.
ClickFix is een promptinjectietechniek — een methode om kwaadaardige instructies te verbergen in inhoud die een AI-agent leest, zodat de agent die instructies uitvoert alsof het legitieme gebruikersopdrachten zijn. Zie het als het insluipen van een vervalste werkopdracht tussen een stapel echte: de agent kan het verschil niet zien. In het geval van Muse vereist de aanval geen speciale toegang tot het apparaat; een aanvaller hoeft alleen kwaadaardige inhoud voor de agent te krijgen — via een webpagina, een document of een bericht — en Muse kan worden aangestuurd om ernaar te handelen.
Wat dit bijzonder scherp maakt, is wat Muse kan doen zodra het is overgenomen. Zoals beschreven in een eerder Charmloop-rapport, heeft Muse toestemming om Apple Berichten, Agenda-items en Notities te lezen — een niveau van systeemtoegang dat de meeste desktopapps nooit aanvragen. Een overgenomen Muse is niet zomaar een chatbot die uit de bocht vliegt; het is een agent die privécommunicatie en agendagegevens kan lezen namens een aanvaller.
De omschrijving van Muse door Ars Technica als „buitengewoon bevoorrecht" is de kern van waarom deze zero-day ernstig is. De meeste AI-assistenten werken in sandbox-omgevingen met beperkt bereik. Muse is ontworpen voor diepe OS-integratie — dat is de functie. Maar diepe integratie is ook wat een promptinjectiefout verandert van een ergernis in een volledig risico op data-exfiltratie.
Onderzoekers maken ook duidelijk dat ClickFix slechts één route is. De zero-day heeft meerdere aanvalsoppervlakken, en het ClickFix-voorbeeld wordt gepresenteerd als een demonstratie van hoe laag de drempel is — niet als het maximum van wat mogelijk is. Dat onderscheid is belangrijk: het patchen van één vector zou de onderliggende kwetsbaarheid niet dichten.
Voor AI-makers is dit verhaal een concrete illustratie van een risico dat gemakkelijk als abstract wordt beschouwd: agentische AI-tools — die acties namens jou ondernemen, niet alleen tekst of afbeeldingen genereren — hebben een fundamenteel ander bedreigingsprofiel dan passieve tools. Wanneer je een afbeeldingsgenerator gebruikt op een platform zoals Charmloop's generator, produceert het model uitvoer; het handelt niet op je systeem. Een agent zoals Muse leest en schrijft mogelijk naar je persoonlijke gegevensopslag.
De beveiligingsonderzoeksgemeenschap waarschuwt al enige tijd voor promptinjectie in agentische systemen, maar een benoemd, breed verspreid product met een bevestigde 0-day maakt het risico concreet. Als je evalueert welke AI-tools je in een creatieve workflow wilt integreren — vooral tools die brede OS-rechten aanvragen — is de Muse-casus een nuttig referentiepunt voor wat „bevoorrechte toegang" werkelijk betekent als er iets misgaat.
Meta heeft op het moment van schrijven geen publieke patchtijdlijn bekendgemaakt. Totdat die beschikbaar is, is de veiligste houding om te beperken wat Muse kan benaderen in de systeeminstellingen en elke ongewenste agentactie als de moeite waard van onderzoek te beschouwen.
