Contexte du lancement

Meta a déployé en juin 2024 Muse, un assistant conversationnel basé sur le modèle LLaMA 2 et intégré aux applications Instagram, Facebook et WhatsApp. L’objectif était de proposer des réponses générées en temps réel, du résumé de messages à la création de contenus multimédias, le tout via une interface texte. Le service fonctionne en appelant des micro‑services internes qui exécutent des « tools » (par ex. génération d’images, accès à des bases de données) à la demande de l’utilisateur.

Mécanisme de la vulnérabilité

Des chercheurs en sécurité ont identifié une zero‑day exploitant la fonction de « tool use ». Le modèle accepte des instructions sous forme de texte qui sont ensuite traduites en appels d’API internes. En injectant une chaîne spécialement formatée, il est possible de forcer le backend à exécuter des commandes système non filtrées. Le problème provient d’une validation insuffisante du contenu du prompt : les caractères de contrôle et les séquences de commande ne sont pas correctement échappés avant d’être transmis au conteneur d’exécution. Ainsi, un acteur malveillant peut obtenir l’accès à des fichiers sensibles du serveur ou déclencher des requêtes réseau non autorisées.

Analyse des risques et des correctifs

Le vecteur d’attaque permet une exécution de code à distance (RCE) sur l’infrastructure cloud de Meta. Une fois le conteneur compromis, l’attaquant peut lire des logs contenant des jetons d’authentification, extraire des métadonnées d’utilisateurs et potentiellement escalader ses privilèges vers d’autres services internes. La portée exacte n’est pas quantifiée dans l’article, mais la nature du service (traitement de millions de messages quotidiens) implique un risque de fuite massive de données personnelles. Meta a publié un correctif en désactivant temporairement la fonctionnalité de tool use et en renforçant le sandboxing des processus. Le correctif inclut une validation stricte des entrées, l’isolation des conteneurs via des namespaces Linux renforcés et la mise en place d’un audit des appels d’API internes. Les chercheurs recommandent de surveiller les journaux d’accès pour détecter d’éventuelles tentatives d’injection et d’appliquer des règles de pare‑feu au niveau du réseau interne afin de limiter les communications sortantes non autorisées.

Implications pour les utilisateurs et l’industrie

Pour les utilisateurs finaux, la faille ne se manifeste pas directement dans l’interface mobile, mais elle expose leurs conversations à un risque de collecte non consentie. Les entreprises qui intègrent des assistants IA similaires doivent revoir leurs modèles de confiance entre le LLM et les services d’arrière‑plan, en privilégiant le principe du moindre privilège et en adoptant des mécanismes de vérification de type « prompt‑whitelisting ». Cette affaire rappelle que l’ajout de capacités d’exécution dynamique à des modèles de langage augmente la surface d’attaque et nécessite des contrôles de sécurité dès la phase de conception.