十二天一百八十萬次下載之後：Muse 那條權限鏈，才剛開始計息
Muse 下載量攀高之際，資安研究者揭露其高權限設計的 0-day 漏洞，本文從權限集中成本與授權範圍角度，拆解 AI 助理這門生意的風險帳。
先看一組數字。第三方估算機構 Apptopia 的資料顯示，Muse 在美國與加拿大 iOS 平臺上線的前十二天下載約一百八十萬次，高於 ChatGPT 同期的約一百三十萬次。這是特定期間、特定地區的第三方估算，但它足夠說明一件事：一款要求作業系統層級權限的 AI 助理，正在以高速滲透速度進入一般使用者的桌面與信箱。
伴隨下載量而來的是另一組事實。2026 年 9 月，Ars Technica 報導資安研究者 Patrick Wardle 揭露 Muse 的一個 0-day 漏洞；報導刊出十二小時後，Meta 表示已釋出修補該漏洞的 hotfix。漏洞本身已被修補，但它攤開的設計取捨還在：當助理把檔案、信箱、瀏覽器與付款權限疊在同一個身分上，一次入侵可以推進到哪一步。這與我們先前分析的Muse 讀取 Mac 通知的權限爭議屬於同一條結構問題的不同段落。
下載量是市場訊號，不是安全背書
下載數字常被拿來當產品成敗的判斷基準，但在 AI 助理這個品類，它真正衡量的是「注意力進場的速度」，而非「敏感資料可以放心交出去的程度」。Muse 與一般聊天機器人的差異，在於它能持續工作並連接外部服務。依報導描述，開啟對應連接與授權後，Muse 可讀取信件、操作檔案、開啟瀏覽器並執行購物相關操作。
換句話說，這是一款以「代使用者行動」為賣點的產品，而行動能力的前提是權限。對照 macOS 多年來預設限制應用程式取用的資源清單：檔案寫入、麥克風、相機、位置、行事曆，Muse 為了完成任務必須一次申請多項。權限集中之後，漏洞的影響範圍也跟著集中。
漏洞的傳導機制：從設定檔到帳號權杖
Wardle 揭露的機制值得拆開看。Ars Technica 的報導描述，Muse 的 macOS 版允許任何本機程式或執行中的程式碼修改一長串未公開的設定，其中一項可改變語音轉錄的伺服器位址。攻擊者把位址導向自己的端點後，就能取得用來驗證 Muse 帳號的權杖，進而以該帳號的既有權限行動。Wardle 的概念驗證展示了寫入惡意檔案與拍照等操作，他在受訪時說得直接：「我們可以操控這個代理，並利用它的權限做我們想做的任何事。」
注意傳導鏈的順序。攻擊者拿到的第一份籌碼不是資料，而是一個已授權身分的行動能力。讀信權限本身不會自動變成寄信或購物能力；但若同一個助理另外取得寄信、瀏覽器或購物連接器的寫入與交易權限，資料風險才延伸為行動風險。決定這條邊界畫在哪裡的變數，是 OAuth 授權範圍、已連接的服務、瀏覽器控制權與人工核準設定。
第二個入口是提示注入（prompt injection）。這類攻擊把網頁或郵件等外部內容中的指令偽裝成工作要求，OWASP 的大型語言模型應用風險清單將它列為首要風險，Meta 自己的官方安全說明也承認：「Prompt injection remains an open problem in the industry, and Muse will sometimes make mistakes.」報導另描述，ClickFix 類誘導在特定條件下可能把惡意提示送入 Muse，借用助理既有權限把讀取能力推向實際行動。這不代表每位使用者都會被入侵，但它說明外部內容可以成為攻擊面的延伸。
官方控制機制：有閘門，不等於沒有水
Meta 在官方安全說明中描述了 Muse 的架構：助理跑在專屬的雲端 Linux 容器，容器內的 root 對應到主機上的非特權帳號；安全元件 Sentinel 依政策判斷連接器操作與網路外傳應允許、拒絕或要求核準。
這套設計回應的是「隔離、核準、紀錄」三個傳統控制問題，方向並沒有錯。但官方安全設計與漏洞風險是兩本帳。Wardle 揭露的 0-day 恰好繞過了部分假設：它不從雲端容器下手，而是從本機端的未公開設定切入。控制機制的實際效果，仍取決於政策內容、連接器生態與修補速度，而 Meta 這次的修補時程是報導後十二小時。
影響推演：誰在付這本帳
對使用者而言，成本結構是這樣的：便利性立刻入帳，風險則是或有負債，而且規模與授權範圍成正比。單獨開放行事曆讀取的風險有限；行事曆加信箱加瀏覽器加付款工具，等於把多個系統的行動能力集中在一個可被外部內容影響的流程裡。
對 Meta 而言，這是一場滲透速度與信任折舊的賽跑。前十二天一百八十萬次下載代表注意力已經進場，但 AI 助理的留存取決於使用者願意交出多少權限、以及每次漏洞新聞後收回多少。Meta 官方安全說明中「仍會犯錯」的措辭，某種程度上就是這條產品曲線的誠實註腳。
對整個 AI 助理品類，Muse 的事件提供了一個跨產品的對照基準：當廠商以「代使用者行動」競爭，權限申請的廣度本身就是行銷賣點，也是攻擊面的寬度。隱私成本不會消失，只會決定由誰、在哪個時間點支付。這與我們在AI 代理回滾成本分析中看到的結構是同一個：代理的權限越大，出錯時的帳單越長。
收束判斷
可確認的事實有三件：下載數字是第三方估算的市場訊號；0-day 漏洞已被揭露且 Meta 已修補；官方安全架構與提示注入的未解風險同時存在。其餘的判斷取決於使用者自己那一欄授權清單。實務上該問的問題不是「Muse 安全嗎」，而是「這些權限疊在同一個身分上之後，一次入侵可以推進到哪一步」。答案寫在每個使用者的 OAuth 設定頁裡，而那個頁面，多數人從未打開過。