สองวันที่ Muse ของ Meta ถูกเปิดดูข้างใน — 0-day บน Mac ที่ย้ายปลายทางเสียงสั่งงานไปหาผู้โจมตีได้, คนขอไฟล์ระบบแล้วได้มา 6.8GB และ Nat Friedman ยอมรับว่าได้แรงบันดาลใจจาก OpenClaw

หนึ่งวันหลังข่าว Amazon บล็อก Muse ไม่ให้ซื้อของแทนผู้ใช้ มีข้อมูลใหม่เกี่ยวกับเอเจนต์ส่วนตัวของ Meta ออกมาสามเรื่องจากสามแหล่ง เรื่องแรกคือ 0-day บนแอป Mac จาก Patrick Wardle นักวิจัยความปลอดภัย macOS เรื่องที่สองคือผู้ใช้คนหนึ่ง ขอให้ Muse ส่งไฟล์ที่มันมองเห็นออกมา แล้วได้ไฟล์ระบบมา 6.8GB ซึ่งเผยให้เห็นโครงสร้างภายในเกือบทั้งหมด และเรื่องที่สามคือ Nat Friedman ยอมรับว่า Muse ได้แรงบันดาลใจจาก OpenClaw

ทั้งสามเรื่องน่าสนใจเพราะตอนเปิดตัวเมื่อ 8 ก.ย. Meta ใช้ความปลอดภัยเป็นจุดขายหลัก (เอกสาร Muse Secure VM ละเอียดมาก) แต่ช่องโหว่ที่พบรอบนี้อยู่นอก VM ทั้งหมด

0-day “not-a-mused” — ย้ายปลายทางเสียงสั่งงาน

Wardle ปล่อย PoC ชื่อ not-a-mused เมื่อ 21 ก.ย. README อธิบายว่าแอป Muse บน Mac มีการตั้งค่าที่ไม่มีในเอกสารชื่อ endo_voyager_dictation_endpoint ซึ่ง โปรเซสใดก็ได้บนเครื่องแก้ค่าได้โดยไม่ต้องมีสิทธิ์พิเศษ เมื่อชี้ endpoint นี้ไปที่เซิร์ฟเวอร์ของผู้โจมตี ครั้งต่อไปที่ผู้ใช้กดไมค์สั่งงาน เสียงจะถูกส่งไปที่ผู้โจมตีแทน ผลที่ตามมาคือ:

• ดักเสียงหรือ prompt ที่ผู้ใช้พูด
• ฉีด prompt กลับเข้าไปใน Muse
• ขโมย authentication material ของบัญชี Muse
• ใช้สิทธิ์ทุกอย่างที่ผู้ใช้เคยให้ Muse ไว้

9to5Mac รายงานว่าใน PoC Wardle สาธิตทั้งการเขียนไฟล์ลงเครื่อง ถ่ายรูปด้วยกล้อง และดึงตำแหน่งของ iPhone ที่ผูกกับบัญชีเดียวกัน ตัว PoC ใช้งาน “a subset of the 50+ commands exposed by Muse”

Wardle ระบุชัดว่านี่เป็น local attack ผู้โจมตีต้องรันโค้ดบนเครื่องได้ก่อน แต่ก็ชี้ว่าแค่ใช้วิธี ClickFix หลอกให้ผู้ใช้วางคำสั่งลงใน Terminal ก็พอ เขายังชี้ว่า Apple มี on-device dictation ให้นักพัฒนาใช้อยู่แล้ว ถ้า Meta ใช้ตัวนั้นก็จะไม่มีช่องโหว่นี้ Meta ออกแพตช์แล้ว และ Wardle โพสต์ว่า “hot-fixed” เมื่อ 22 ก.ย. ใครใช้ Muse บน Mac ควรอัปเดต

ขอไฟล์ระบบแล้วได้มา 6.8GB

วันเดียวกัน Peter James จาก mouse.dev เผยแพร่บทความว่าเขา ขอให้ Muse บีบอัดไฟล์ที่มองเห็นแล้วส่งเข้า Google Drive และ Muse ก็ทำตาม ได้ไฟล์ราว 2.7GB ที่แตกออกมาเป็น 6.8GB ดูเหมือนเป็น root filesystem ของ Linux environment ที่ถูกจัดให้ session ของเขา สิ่งที่เขาพบ (ตามที่บทความเขียนไว้):

• ชื่อภายในของ Muse คือ “Hatch” ในโฮมไดเรกทอรี /home/hatch มีไฟล์ SOUL.md, IDENTITY.md, USER.md, MEMORY.md, AGENTS.md, TOOLS.md และมี subagent trace แบบ JSONL 113 ชุด
• ใน /opt/hatch/skills/ มี skill ราว 68 ไดเรกทอรี แต่ละตัวมี SKILL.md คู่กับ CLI tool ส่วน skill-scopes.conf มีชื่อ connector ที่ยังไม่เปิดตัว เช่น Slack, Dropbox, Polymarket, Canva และ Klaviyo
• runtime เปิดด้วย systemd-nspawn และมี Codex CLI 0.149.0 ติดตั้งไว้ที่ /opt/hatch-image/bin/codex ผู้เขียนไม่พบโค้ดที่เรียกใช้ Codex เลย สิ่งที่ถูกใช้จริงมีแค่ bubblewrap ที่มากับ Codex ซึ่งใช้ sandbox ffmpeg
• ความจำเก็บเป็นไฟล์ Markdown แล้วทำดัชนีใน Postgres ด้วย embedding 384 มิติ และมีงาน “dream” ทุกคืนที่สรุปบทสนทนาเป็นแนวทางให้ session ถัดไป
• มีเอกสารของอุปกรณ์ทดลองชื่อ Meta Home Link ที่ใช้ ESP32-C5

ในไฟล์ที่ได้มามี SSH key ด้วย แต่ผู้เขียนบอกว่า ยังไม่ได้ตรวจว่า key ใช้งานได้จริงหรือไม่ และ ไม่ได้สาธิตการหลุดออกจาก container เขาแจ้งเรื่องผ่าน bug bounty แต่ Meta ตอบว่า “Not Applicable” ต้องหมายเหตุด้วยว่า mouse.dev เป็นบริษัทที่ขายผลิตภัณฑ์ของตัวเอง

”heavily inspired as a product by openclaw”

คืน 21 ก.ย. Nat Friedman ผู้บริหาร Meta Superintelligence Labs โพสต์บน X ว่า “we built muse from scratch, but it is definitely heavily inspired as a product by openclaw” และเล่าว่าหลังได้ลอง OpenClaw เมื่อมกราคม เขา “bought hundreds of mac minis for the MSL team” เป้าหมายคือทำ “something like openclaw that we could make safe and secure and easy to use and scale to billions of people” เมื่อดูจากไฟล์ที่ถูกส่งออกมา ทั้ง SOUL.md, AGENTS.md, skill แบบ SKILL.md และ memory แบบ Markdown ก็ตรงกับคำพูดนี้

มุมมอง AI Curator

สำหรับนักพัฒนา เรื่องนี้ยืนยันว่าสถาปัตยกรรมเอเจนต์ส่วนตัวแทบจะเป็นมาตรฐานเดียวกันแล้ว บริษัทที่มีทรัพยากรมากที่สุดรายหนึ่งก็ยังใช้ ไฟล์ Markdown เป็นตัวตน ความจำ และคู่มือ skill แบบเดียวกับ OpenClaw และ Claude Code ถ้าทีมไทยกำลังสร้างเอเจนต์ภายในองค์กร การลงทุนกับรูปแบบ SKILL.md/AGENTS.md ถือว่าเดินถูกทาง

ด้านความปลอดภัย ทั้งสองเหตุการณ์ชี้จุดอ่อนเดียวกัน Meta ออกแบบ Secure VM มาอย่างดี แต่ ช่องโหว่อยู่ที่ขอบ คือแอปฝั่ง client ที่ให้โปรเซสอื่นแก้ค่าได้ และช่องทางส่งออกข้อมูลที่ผู้ใช้เปิดไว้เอง (Google Drive) ซึ่งให้เอเจนต์ส่งไฟล์ภายในออกไปได้เพียงเพราะมีคนขอ เอเจนต์ที่ได้สิทธิ์เข้าถึงอีเมล การจ่ายเงิน และกล้อง กลายเป็นเป้าที่คุ้มกว่ามัลแวร์ทั่วไป อย่างที่ Wardle บอกว่าสิทธิ์ของ Muse ก็คือสิทธิ์ของผู้โจมตี

บทเรียนสำหรับทีมที่สร้างเอเจนต์คือ ต้อง threat-model ทั้งช่องทางรับคำสั่ง (เสียง ข้อความ ไฟล์) และช่องทางส่งออก (connector ทุกตัว) ไม่ใช่แค่ sandbox ที่รันโค้ด และคำตอบ “Not Applicable” จาก bug bounty ก็ทำให้คำสัญญาเรื่องความปลอดภัยตอนเปิดตัวดูน่าเชื่อน้อยลง

แหล่งข่าว

• pwardle/not-a-mused — GitHub (21 ก.ย. 2026)
• I asked Meta’s Muse for its filesystem and it sent me 6.8 GB — mouse.dev (22 ก.ย. 2026)
• Security Bite: The last 24 hours at Meta were “not-a-musing” — 9to5Mac (22 ก.ย. 2026)
• Nat Friedman บน X (21 ก.ย. 2026)