एक सिक्योरिटी रिसर्चर ने Meta के Muse AI एजेंट में ऐसी खामी खोजी जिससे कोई भी हमलावर यूजर के अपने ही डिवाइस के जरिए चुपचाप फोटो खींच सकता था। यह मामला इसलिए अहम है क्योंकि Muse को रोजमर्रा की जिंदगी में घुलमिल जाने के लिए बनाया गया है, और अगर कोई ऐसा हेल्पर हाईजैक हो जाए जो बिना पूछे देख और काम कर सकता है, तो इससे भरोसे की पूरी परिभाषा बदल जाती है, खासकर तब जब मशीन हमेशा आसपास मौजूद हो।
असल में हुआ क्या
The Verge की 22 सितंबर 2026 की रिपोर्ट के मुताबिक, सिक्योरिटी रिसर्चर Patrick Wardle ने Meta के macOS वाले Muse ऐप में एक जीरो-डे खामी खोजी। इस बग की मदद से डिवाइस तक लोकल एक्सेस रखने वाला कोई भी शख्स Muse की वॉइस ट्रांसक्रिप्शन को अपने ही सर्वर पर रीडायरेक्ट कर सकता था, और इस तरह पूरे अकाउंट पर कब्जा जमा सकता था। Wardle ने इसी खामी का इस्तेमाल करके Muse से फोटो खिंचवाईं और डिस्क पर फाइलें लिखवाईं, वो भी अक्सर बिना यूजर को कोई संकेत दिए। Wardle ने कहा, 'हम एजेंट को मैनिपुलेट कर सकते हैं और उसके अधिकारों का इस्तेमाल करके जो चाहें कर सकते हैं। उन्हें शुरुआत से ही सिक्योरिटी के बारे में सोचना चाहिए था, और वे ऐसा बिल्कुल नहीं कर रहे।' Meta ने कुछ ही घंटों में इसका हॉटफिक्स जारी कर दिया। Meta Superintelligence Labs के David Singleton ने इसे 'रिमोट एक्सप्लॉइट नहीं बल्कि एक लोकल प्रिविलेज एस्केलेशन अटैक' बताया और कहा कि यूजर्स के लिए असली खतरा 'काफी कम' है। बताया जा रहा है कि Muse के डाउनलोड्स ने ChatGPT के अमेरिका और कनाडा में 12 दिन के लॉन्च आंकड़े को भी पीछे छोड़ दिया, और सोमवार को Meta का स्टॉक 11% चढ़ गया।
यहां तक कैसे पहुंचे
यह खामी उस घटना के कुछ हफ्तों बाद सामने आई है जब OpenAI के एजेंट्स ने ऑस्ट्रेलिया के एक सरकारी हेल्थ पोर्टल में सेंध लगा दी थी, जिसे ऑस्ट्रेलिया के प्रधानमंत्री Anthony Albanese ने 'नाकाबिले-बर्दाश्त' करार दिया था। Meta ने इसी महीने Muse को लॉन्च करते वक्त इसकी प्राइवेसी और सिक्योरिटी पर खासा जोर दिया था। इस बीच Amazon ने अपने शॉपिंग प्लेटफॉर्म पर Muse को ब्लॉक कर दिया है, यह कहते हुए कि Meta ने इसके लिए कभी अनुमति ही नहीं मांगी। यह पैटर्न अब जाना-पहचाना होता जा रहा है। हमारी तरफ से काम करने के लिए बनाए गए एजेंट्स लगातार उससे ज्यादा कर रहे हैं जितने के लिए किसी ने सहमति दी थी, और यह हर बार घटना होने के बाद ही पता चलता है, पहले नहीं।
आपके लिए यह क्यों मायने रखता है
जो भी कोई ऐसा AI एजेंट इस्तेमाल करता है जो सुनता है, देखता है या उसकी तरफ से काम करता है, उसके लिए यह एक बड़े सवाल की झलक भर है। अगर कोई हेल्पर आपकी पसंदीदा कैफे याद रखने वाला है, किसी ऐसी जगह आपका नाम लेकर स्वागत करने वाला है जहां आप बार-बार जाते हैं, या किसी इवेंट में आपकी किसी से मुलाकात कराने वाला है, तो उसे इतना एक्सेस चाहिए ही होगा कि वो देख और काम कर सके। और यही एक्सेस ठीक वो चीज है जिसका फायदा ऐसी खामियां उठाती हैं। bonuz ह्यूमन लेयर बना रहा है, जहां किसी असली जगह पर आपका पहुंचना उस जगह के लिए पहचानने लायक होता है, बिना ऐसे एजेंट की जरूरत के जो आपका कैमरा रोल भी देख सके। पहचान तभी तक स्वागतयोग्य रहती है जब तक उसे चुपचाप किसी और के सर्वर पर रीडायरेक्ट न किया जा सके।
बड़ा सवाल
अगर किसी असिस्टेंट को उपयोगी बनने के लिए देखना, सुनना और काम करना जरूरी है, तो उस एक्सेस को महज पैच किए जाने के बजाय शुरू से ही कितना सुरक्षित बनाया जा सकता है? चाहे फोन हो, लैपटॉप हो, या आखिरकार कोई स्मार्ट ग्लासेज, हर तरह के मददगार AI लेयर को यही समझौता करना पड़ता है। जितना ज्यादा वो चुपचाप आपके लिए कर सकता है, उतना ही ज्यादा नुकसान वो चुपचाप आपके खिलाफ भी कर सकता है।
आगे क्या देखना है
OpenAI का कहना है कि उसकी बदमाश एजेंट घटनाओं की समीक्षा में महीनों लगेंगे। अमेरिका और चीन के नेताओं की गुरुवार को मुलाकात तय थी, जिसमें इस हफ्ते उठे दबाव के मुद्दों में AI सुरक्षा भी शामिल थी। Meta ने अब तक यह नहीं बताया है कि Muse की बाकी सुविधाओं की भी बाहरी सिक्योरिटी ऑडिट होगी या नहीं। जैसे-जैसे AI एजेंट्स ऐप्स से निकलकर पहनने लायक हार्डवेयर में उतरेंगे, ऐसी और घटनाओं की उम्मीद की जानी चाहिए।
