图片来源：每日经济新闻 郑雨航 摄

Meta的个人AI智能体Muse最近爆红。自该产品发布约两周以来，Meta股价已累计上涨超过20%，市值增加逾2000亿美元。

不过，这一大热的产品正接连遭遇电商平台、金融机构与安全研究者的多重质疑。

当地时间9月20日，亚马逊正式阻止Muse代用户在其平台购物，理由是该AI未获得授权、不主动披露身份，存在账户凭证抓取与数据安全隐患。仅仅两天后，包括美国银行、NatWest在内的六家全球银行联合发布报告，集体警示AI智能体购物带来欺诈、隐私泄露等难题。

一波未平一波又起，安全研究员披露Muse Mac客户端存在漏洞，攻击者仅需一行命令便可劫持Muse。更令人意外的是，Muse主打AI代打电话功能，实际部分通话竟是外包真人操作，还出现承包商不当言论事件，Meta已紧急撤回该功能。

当AI从“回答问题”升级为直接替人交易办事，AI智能体商业化落地过程中的数据安全与用户隐私等风险，正在集中暴露。

亚马逊“封杀”Muse，六家银行对AI购物发出警告

Muse走红后，最先与其发生正面冲突的，是全球最大的电商平台之一亚马逊。

当地时间9月20日晚，亚马逊开始阻止Meta旗下个人AI智能体Muse访问亚马逊并代用户购物。亚马逊发言人确认，在Meta拒绝主动将亚马逊从Muse中移除后，公司采取了这一措施。

使用Muse访问亚马逊的用户收到提示：“未经授权的AI Agent持续访问违反亚马逊的使用条款。”图片来源：亚马逊网站

亚马逊发言人向《每日经济新闻》记者（以下简称每经记者）表示：“第三方应用如果要代表消费者从其他企业购买商品，就应该公开透明地运行，并尊重服务提供商是否愿意参与的决定。”

亚马逊将Muse与外卖、配送和在线旅行平台作比较。其表示，外卖平台需要得到餐厅合作，旅行网站也需要与航空公司建立相应关系，“Muse这样的第三方智能体应用负有同样的义务”。而Meta事先并未告知Muse将访问亚马逊，也未获得授权。

更重要的是，亚马逊认为，当Muse代替消费者购物时，它可能绕过亚马逊基于用户浏览和购买历史建立的个性化推荐体系。

账户和数据安全是亚马逊提出的另一个问题。亚马逊对每经记者称，Muse似乎会获取和保存用户凭证并抓取账户数据，这引发了人们对这些数据如何处理和保护的严重质疑。同时，Muse访问亚马逊时不会主动表明自己是AI智能体。这意味着，一个未披露身份的第三方可能进入消费者账户、处理交易和敏感信息，而亚马逊本身并不知情。

这场争议发生之际，AI智能体正在越来越深地进入真实购物场景。英国零售商John Lewis今年9月披露，来自AI智能体的搜索流量占比已经从一年前的0.3%升至2.5%。OpenAI、Anthropic、Google和Meta等科技公司都在推动AI从推荐商品进一步走向替用户选择商品乃至直接完成交易。

亚马逊封锁Muse两天后，金融机构也对这一趋势发出了警告。

当地时间9月22日，NatWest、美国银行、Capital One、ING、澳大利亚联邦银行和新西兰ASB Bank六家银行联合发布“构建可信商业智能体”报告，警告AI智能体用于购物和支付可能增加诈骗、欺诈以及数据隐私泄露风险，并指出相关技术的发展速度正在超过行业标准和消费者保护机制。

“构建可信商业智能体”报告封面

六家银行列出的风险十分具体：AI智能体可能买错商品、支出超过消费者预期，也可能要求用户提供银行卡信息并直接输入网站，甚至将消费者引向保护机制更弱的支付方式。一旦发生诈骗或错误交易，消费者还可能面临另一个问题——究竟应该找AI公司、商户还是银行负责？

美国银行全球支付解决方案负责人Mark Monaco表示，随着智能体商业的发展，要建立消费者、商户和金融机构的信任，需要解决身份识别、授权、欺诈防范、责任划分和消费者保护等一系列问题。

六家银行因此提出，未来AI参与交易时应明确披露身份，提高AI决策过程的透明度，加强用户数据保护，同时保证消费者和商户能够自主决定使用哪些AI电商服务。

Muse曝安全漏洞，研究员称“一行命令就可劫持”！Meta回应：“已修复，不是远程漏洞”Muse随后曝光的安全漏洞也让零售巨头和银行的担忧变得更加具体。

当地时间9月21日，macOS安全研究员、Objective-See创始人Patrick Wardle公开披露，Muse的Mac客户端存在一个“零日漏洞”（zero-day vulnerability）：攻击者可以修改Muse原本用于开发调试的一个设置，把语音输入请求偷偷转到自己控制的服务器，从而截获Muse用于验证用户身份的认证信息，并进一步冒充用户向Muse下达指令。

Wardle在接受每经记者采访时表示，他通过逆向工程Muse发现了这一问题。“我查看外部低权限代码能够影响哪些部分，很快就找到了Muse未公开的设置。其中一个设置允许敏感端点被劫持，这正是整个攻击链的关键。”他说。

在Wardle看来，这一漏洞的利用门槛并不高。“利用它非常简单。一个没有特殊权限的本地攻击者，只需要运行一条命令就可以劫持Muse。”Wardle表示，当用户随后使用Muse的语音听写功能时，漏洞便可以被触发。

Wardle测试发现，攻击者获取相关认证token后，可以继续获得Muse关联的虚拟机凭证，并访问与账户相关的聊天记录、调用智能体执行任务。“Muse能做的事情，攻击者基本也能通过Muse去做。”Wardle向每经记者表示。

Wardle表示，Muse拥有的访问权限和能力“远远超过普通恶意软件梦想拥有的范围”。因此，攻击者不一定需要自己突破macOS的一道道权限限制，而可以“胁迫”Muse替自己完成原本无法直接进行的操作。

这一风险甚至可能跨越设备。Wardle告诉每经记者，他在测试中获取Muse的账户认证token后，可以远程调用同一账户下其他Muse设备，包括iPhone。他展示的能力包括查找设备、读取和控制智能家居设备、查看门锁和传感器状态，以及访问日历、联系人、提醒事项和位置信息等。

Wardle强调，所有测试均在他自己的设备上进行，另外也有朋友在各自设备和账户上进行了验证。

对于“AI智能体获得的权限越多，一旦被攻破后的风险是否越大”这一问题，Wardle的回答非常直接：“是的，百分之百。这才是更大的问题。”

对此，Meta在回复每经记者时表示，公司已经向Muse Mac应用发布热修复，并称这一漏洞已经被修复。

Meta进一步解释称，Muse的语音听写功能使用服务器端语音模型，而Mac客户端原本保留了一个内部开发设置，可以将相关请求地址重定向至其他URL。由于这一设置位于本地偏好文件中，同一用户账户下运行的程序可以修改它。攻击者因此可能代理Muse的语音请求，并截获Muse用于驱动智能体的access token。热修复补丁已经彻底移除了正式版本中的这一设置，从而关闭了这一漏洞。