Wardle beschreibt den Fehler als Entwurfsentscheidung. Muse lässt jede lokal laufende Anwendung eine lange Liste undokumentierter Einstellungen ändern, unabhängig von den macOS-Rechten dieser Anwendung. Die meisten davon sind harmlos, etwa der Dunkelmodus. Eine aber legt fest, an welchen Server die Diktatfunktion den aufgenommenen Ton schickt. Zeigt sie auf einen fremden Rechner, wandert das Zugangs-Token mit.
Aus dem Umleiten wird eine vollständige Übernahme: Der Server des Angreifers kann sich zwischen Nutzer und Meta setzen, den gesprochenen Auftrag um eine eigene Anweisung ergänzen – Wardles Beispiel ist der Versand des gesamten WhatsApp-Verlaufs – und behält das Token dauerhaft. Wardle hat Machbarkeitsangriffe gebaut, die Dateien schreiben und Fotos aufnehmen, ohne dass ein aufmerksamer Nutzer etwas bemerkt.
Der übliche Einwand, ein bereits kompromittiertes Gerät sei ohnehin verloren, greift hier nicht: Nach Wardles Darstellung reicht eine Abwandlung von ClickFix – eine Masche, bei der Nutzer selbst einen vorbereiteten Befehl ins Terminal kopieren. Eine CVE-Nummer nennt der Bericht nicht, einen eigenen technischen Beitrag hat Wardle bis zum 22. September nicht veröffentlicht; Einzelheiten will er im November auf einer Sicherheitskonferenz vorstellen.
Metas eigenes Sicherheitsversprechen steht dem entgegen: Mark Zuckerberg hatte Muse als von Grund auf für Privatsphäre und Sicherheit gebaut beworben, das Unternehmen veröffentlichte binnen zwei Wochen zwei Texte zum Sicherheitsentwurf. Parallel sperrte Amazon den Agenten rund zwölf Stunden vor Wardles Veröffentlichung von seiner Handelsseite: Muse sei ein nicht autorisierter KI-Agent und verstoße gegen die Nutzungsbedingungen.
Nachtrag vom 22. September 2026: Meta hat die Lücke in den Stunden nach dem Bericht von Ars Technica geschlossen. David Singleton von Meta Superintelligence Labs ordnet sie auf X als lokale Rechteausweitung ein, nicht als Fernangriff; schaden könne sie erst, wenn auf dem Rechner bereits fremder Code unter dem Konto des Nutzers laufe, das praktische Risiko sei deshalb gering gewesen.