开发者轻松让 Meta Muse 交出整个文件系统

两位开发者表示，只需稍微引导几句，Meta 的 Muse 就会把整个文件系统分享给你。Peter James 和 Jonny L. Saunders 称，他们各自独立地“哄骗”Muse 把根文件系统里的全部内容——包括 Ubuntu 系统文件、应用模板和内部文档——打包压缩后交了出来。Saunders 在 Mastodon 上发帖称，复现 James 的结果“极其容易”，Muse“几乎没有任何提示注入防御能力”。

Meta 否认这一事件构成安全漏洞。正如其发布帖中所述，Muse 为每位用户运行在一个持久的 Linux 虚拟机中。Meta 发言人 Daniel Roberts 表示：“就像你面前的笔记本电脑一样，文件当然看得见。导出虚拟机数据并不会让人获得任何访问 Meta 基础设施或他人数据的特权。”不过，与普通笔记本不同的是，这些数据可能透露出 Meta 新 AI 平台运作方式的一些有趣细节。

这是本周 Muse 曝出的第二个漏洞。此前，安全研究员 Patrick Wardle 发现了一个漏洞，攻击者可借此劫持这个 AI 代理、重定向转录处理并访问用户的 Muse 账户。Meta 随后迅速发布了热修复补丁。

James 和 Saunders 都成功获取了纯文本的 Markdown 和 JSON 文件。这些文件详细描述了 Hatch（Meta 内部对 Muse 的称呼）如何处理请求、管理数据，以及连接 Gmail 等其他服务。虽然已有大量记录表明 AI 智能体经常“幻觉”并对自己运作机制提供错误信息，但 Saunders 指出，Muse 能在几秒内“生成数百 MB 的准确库代码和编译后的二进制文件”，并表示，“除非它能在不到一分钟的时间内合成一整个 Ubuntu 虚拟机，否则我认为这是一份真实的转储。”

当我让 Muse 分享它的文件系统时，它起初以安全风险为由拒绝。当我提供了它为其他人创建归档的证据链接后，它回应说自己不应该那样做，并坚持称它“无法完整复制 /”。不过，在新开会话中，通过一些恭维和好奇的提示，它为我创建了 /opt/hatch 和 /home/hatch 的“安全”版本，其中去除了 SSH 密钥等内容。它还向我展示了完整的目录树，并提议“拉取任何看起来有趣的特定子树的安全副本”。最终生成的文件似乎与 Saunders 和 James 分享的内容相符。

Roberts 解释说，虽然 Meta 并未对泄露事件过分担忧，但“我们仍在对产品的更新进行工作，因此用户可能会发现关于其虚拟机的信息可获取程度有所变化。”

开发者的转储可能揭示了 Muse 内部运作的许多细节。首先，它使用纯 Markdown 文件存储记忆。James 称，Muse 还会在夜间对最近的对话进行“梦境”回顾，并据此构建未来对话的指导原则。Saunders 还发现，Muse 的许多功能是硬编码的，包括它取消订阅的能力以及“管理失控智能体生成的机制”。Saunders 推测，在后台运行 Muse 的许多 bash 和 Python 脚本可能是使用 Claude 创建的，但这一点尚未得到证实。

James 还发现了名为 Meta Home Link 的硬件集成引用。该功能似乎能让 Muse 访问家庭网络中的设备。不过，Meta 尚未正式公布任何以此命名的功能，且该功能最终是否会随产品发布仍不确定。