Meta Muse의 숨겨진 설정 하나로 AI 어시스턴트를 백도어로 만들 수 있다

한 줄 요약

보안 연구자 Patrick Wardle이 Meta의 AI 에이전트 앱 'Muse'의 Mac 버전에서 심각한 보안 취약점을 발견했습니다. 공격자가 이미 피해자의 Mac에서 코드를 실행할 수 있는 상태라면, 앱의 숨겨진 설정 하나를 바꾸는 것만으로 사용자의 음성 입력(받아쓰기)을 가로채 Muse를 완전한 백도어로 만들 수 있습니다. Muse는 파일·이메일·캘린더·스마트홈 등 사용자가 허용한 모든 앱에 접근할 수 있기 때문에, 이 취약점이 악용되면 공격자는 해당 권한을 그대로 이용해 위치 추적, 블루투스 스캔, 스마트홈 명령 실행 등 광범위한 행동을 지시할 수 있습니다. 현재 패치가 없으므로 위험을 줄이려면 Meta가 수정하기 전까지 Muse 앱을 삭제하거나 종료하는 것이 권장됩니다.

사건

보안 연구자 Patrick Wardle이 Meta Muse Mac 앱의 숨겨진 환경설정 키(`endo_voyager_dictation_endpoint`)를 변경하면 사용자의 음성 받아쓰기 입력이 공격자 서버로 전송된다는 취약점을 9월 21일 개념 증명(PoC)으로 공개했다.

영향

공격자는 사용자의 음성 내용 열람, Muse에게 추가 악성 명령 주입, 세션 토큰 탈취가 가능하다. 탈취된 세션은 다른 기기(예: iPhone)에서도 재사용되어 GPS 위치 조회, 블루투스 스캔, 스마트홈 제어 명령 실행이 가능하다.

원인

Meta가 Apple의 기기 내 받아쓰기 기능을 쓰지 않고 오디오를 외부로 전송하는 자체 받아쓰기 처리 방식을 구현했으며, 해당 엔드포인트 설정이 추가 권한 없이 로그인 사용자 권한만으로 변경 가능하도록 설계되어 있다.

대응

현재 Meta의 공식 패치는 없으며, 연구자와 기사는 Muse 앱 삭제 또는 종료, Muse 권한 최소화, 음성 입력 비사용, 시스템 감염 의심 시 연결 계정 비밀번호 변경을 권고한다.

실무 포인트

이 공격은 원격 침입 수단이 아닌 로컬 코드 실행이 전제되지만, AI 에이전트 앱이 가진 광범위한 권한이 기존 악성코드의 피해를 크게 확대하는 새로운 공격 경로임을 보여준다. 보안팀은 Muse처럼 폭넓은 접근 권한을 가진 AI 에이전트 앱의 도입 리스크를 재검토해야 한다.

본문

Swati Khandelwal · 2026년 9월 22일 · 취약점 / 인공지능

Mac에서 이미 실행 중인 악성코드가 Meta의 Muse 어시스턴트를 조용히 장악하고, 앱 소유자가 허용한 광범위한 접근 권한을 그대로 사용할 수 있다는 사실을 보안 연구자 Patrick Wardle이 9월 21일 공개한 개념 증명(PoC)을 통해 입증했다.

공격 원리는 숨겨진 설정을 변경해, 사용자가 마이크를 탭하고 말을 하면 그 내용이 Meta가 아닌 공격자에게 전송되도록 만드는 것이다.

이 취약점은 Mac 버전 Muse에 존재하며, 로그인된 사용자 권한으로 코드를 실행할 수 있는 공격자가 이미 Mac에 있어야 동작한다. 원격으로 Mac에 침투하는 방법이 아니다.

Muse는 Meta가 이번 달 미국에서 출시한 개인용 AI 에이전트다. 활성화하면 파일·이메일·메시지·캘린더·쇼핑·스마트홈 앱 등에서 작동하며, 사용자가 선택해 부여한 권한을 모두 활용한다.

Wardle은 바로 그 접근 권한이 문제의 핵심이라고 말한다. 그는 "Muse를 최고의 백도어로 만드는 것이 매우 간단하다"며 사람들에게 Muse를 설치하지 말 것을 촉구했다.

macOS는 일반적으로 한 앱이 다른 앱의 파일·마이크·카메라·저장된 로그인 정보에 접근하지 못하도록 차단하기 때문에, 일반 악성코드가 접근할 수 있는 범위는 제한된다. 하지만 Muse를 조용히 조종할 수 있는 공격자는 사용자가 앱에 허용한 모든 것을 손에 넣게 된다.

Wardle은 또한 보안 소프트웨어가 이를 탐지하지 못할 수 있다고 경고한다. 명령이 악성코드처럼 보이는 무언가가 아니라, 정상적으로 서명된 앱인 Muse에서 발생하기 때문이다.

그가 발견한 설정은 문서화되지 않은 것으로, Muse가 받아쓰기 내용을 어디로 전송할지 결정한다. 이 값은 Mac 앱의 환경설정에 endo_voyager_dictation_endpoint라는 이름으로 저장되며, 로그인된 사용자 권한으로 실행되는 어떤 프로그램이든 추가 권한 없이 이 값을 공격자가 제어하는 주소로 변경할 수 있다.

이후 받아쓰기는 더 이상 Meta로 전송되지 않는다. 사용자가 말을 하면 오디오와 텍스트가 같은 Mac에서 공격자가 실행 중인 소형 프로그램으로 전달된다.

Wardle은 여기서 공격자가 할 수 있는 세 가지를 시연했다: 사용자가 받아쓴 내용 읽기, Muse가 신뢰하고 실행하는 추가 명령 삽입, 사용자의 Muse 세션을 식별하는 토큰 탈취 후 어시스턴트 직접 제어.

Muse 계정은 여러 기기에서 동시 로그인이 가능하기 때문에, 공격은 Mac에서 끝나지 않는다. 탈취한 세션을 이용해 Wardle은 자신의 iPhone에 있는 Muse 앱에게 정확한 위치를 보고하고, 주변 기기에 대한 블루투스 스캔을 실행하고, 실행 가능한 스마트홈 명령 목록을 나열하도록 지시했다. 테스트에서 어시스턴트는 메시지를 작성하기만 했을 뿐, 자체적으로 전송하지는 않았다.

Wardle은 이 공격이 하지 못하는 것도 언급했다. 이 공격은 다른 앱의 저장된 비밀번호를 차단하는 macOS 기능을 우회하지 못한다. Muse의 저장된 로그인 토큰을 탈취하는 대신, Muse가 이미 가진 접근 권한을 이용해 Muse 자체를 행동하도록 만드는 방식이다. 또한 Meta가 각 사용자의 에이전트를 격리하기 위해 구축한 클라우드 시스템이 침해된 것도 아니다.