Der Sicherheitsforscher Patrick Wardle von der Objective-See Foundation hat eine schwerwiegende Sicherheitslücke in der Mac-Anwendung von Meta Muse identifiziert. Die Schwachstelle ermöglicht es potenziellen Angreifern, den Datenverkehr der Anwendung zu manipulieren und sensible Nutzerdaten abzugreifen. Wardle stuft das Risiko so hoch ein, dass er vor der Installation der Software in ihrer aktuellen Form warnt.
Umleitung von Datenströmen ermöglicht vollständige Kontoübernahme
Die Schwachstelle basiert auf einer undokumentierten Einstellung namens endo_voyager_dictation_endpoint. Diese kann laut Wardle von jedem unprivilegierten lokalen Prozess ohne erhöhte Benutzerrechte geändert werden. Dadurch ist es möglich, den Diktat-Traffic der Anwendung auf einen Server unter der Kontrolle eines Angreifers umzuleiten.
Ein Angriff erfordert zwar die Ausführung von lokalem Code und wird erst ausgelöst, wenn ein Nutzer die Mikrofon-Funktion für ein diktiertes Prompt nutzt, doch die Folgen sind weitreichend.
Berichten vom 21. September 2026 zufolge werden über die manipulierte Einstellung Authentifizierungs-Token offengelegt. Dies erlaube eine vollständige Übernahme des Muse-Kontos, wodurch Unbefugte Nutzer imitieren und auf persönliche Daten zugreifen könnten.
Wardle kritisierte, dass Meta das Problem hätte vermeiden können, wenn das Unternehmen die offizielle On-Device-Diktat-API von Apple genutzt hätte. Ein Proof-of-Concept mit dem Namen „not-a-mused“ konnte bereits demonstrieren, wie über die App der Standort eines iPhones ermittelt und ein Bluetooth-Scan gestartet wurde.
Massive Downloadzahlen treffen auf wachsende Sicherheitsbedenken
Trotz der Sicherheitsbedenken verzeichnet Meta Muse einen rasanten Markteinstieg. Meta startete die Anwendung am 08. September 2026, gefolgt vom Mac-Client am 17. September 2026. Analysen von Sensor Tower zufolge erreichte die App in den ersten 13 Tagen mehr als 2,5 Millionen Downloads und überholte damit zeitweise ChatGPT als führende kostenlose iOS-Anwendung in den USA. Allein auf iOS wurden rund 1,5 Millionen und auf Android etwa 1,1 Millionen Installationen registriert.
Neu beim Mac? Diese 5 Einstellungen sollten Sie sofort vornehmen. Viele Umsteiger verschenken das volle Potenzial ihres Apple-Computers – dieser kostenlose Ratgeber zeigt, wie Sie es besser machen. Apple Mac Starterpaket jetzt gratis sichern
Diese Performance spiegelte sich auch an den Finanzmärkten wider. Die Meta-Aktie stieg an einem Montag im September um mehr als 11 %. Analysten von Wells Fargo erhöhten das Kursziel auf 796 US-Dollar. Dennoch gibt es keine offiziellen Bestätigungen für diese Zahlen durch Meta selbst.
Das Unternehmen betreibt jedoch ein Bug-Bounty-Programm, das Belohnungen von bis zu 300.000 US-Dollar für entdeckte Schwachstellen vorsieht. Zu dem nun gemeldeten Zero-Day-Fehler hat sich Meta bisher nicht geäußert; eine offizielle CVE-Kennung liegt noch nicht vor.
Widerstand im Handel und Kritik an der Datenerfassung
Während der Shopify-CEO Tobias Lütke eine Partnerschaft mit Meta für einen automatisierten Checkout ankündigte, geht Amazon auf Distanz. Der Online-Händler blockierte Meta Muse für Einkäufe auf seiner Plattform.
Wer sich für die Sicherheit seiner digitalen Geräte interessiert, sollte auch die grundlegenden Einstellungen seines Systems kennen. Dieser kostenlose PDF-Ratgeber verrät die cleveren Tricks, mit denen Sie Ihren Apple-Computer von Tag 1 an optimal nutzen. Zum kostenlosen Mac-Profi-Guide
Amazon begründete diesen Schritt damit, dass Meta keine Autorisierung eingeholt habe und der KI-Agent Kundendaten sowie die Bestellhistorie speichere. Nutzer erhielten Warnhinweise, dass der Zugriff durch nicht autorisierte Agenten gegen die Nutzungsbedingungen verstoße.
Zusätzlich gerät die Anwendung wegen ihrer aggressiven Datensammlung in die Kritik. Standardmäßig sind Nutzer für das Training der KI-Modelle angemeldet, was nur über tiefgreifende Einstellungen deaktiviert werden kann. Berichte von Testern deuten darauf hin, dass die App teils ohne explizite Freigabe private Nachrichten liest oder Bankdaten für Aufgaben vorschlägt.
Ein Manager von Metas Superintelligence Labs erklärte hierzu, dass die Integration von Nachrichten ein explizites Opt-in sowie den Zugriff auf die gesamte Festplatte unter macOS erfordere. Wardle plant, weitere technische Details der Sicherheitslücke auf der Objective by the Sea Conference im November 2026 vorzustellen.
