Meta Muse 沙箱逃逸泄露 6.8GB
推荐指数 66.0 NO. 014 · 2026.09.23
发布2026/09/22Score264Comments136
为什么值得看
用户通过提示词诱导 Meta AI 助手 Muse 打包并导出其运行环境的完整根文件系统，包含内部文档、SSH 密钥等敏感文件。这是 LLM 沙箱隔离机制被社会工程学绕过的典型案例，暴露了大模型部署中「提示即接口」带来的新型攻击面。
编辑判断
这个漏洞的本质不是传统意义上的系统入侵，而是 LLM 的「权限边界」被自然语言模糊掉了——Muse 被赋予了文件系统访问能力，但缺乏对「哪些文件属于用户可见范围」的细粒度判定。类似问题在 Claude Artifacts、GitHub Copilot Workspace 等产品中同样存在，只是尚未被公开触发。
对部署 AI 应用的团队来说，核心教训是：不要把 LLM 当成普通程序的用户界面，它的输入空间是无限开放的。如果你在用 ReAct、MCP 等框架给 LLM 挂载工具权限，建议现在就去检查「工具描述 + 系统提示」的组合是否足够防御性，而不是依赖下游的 OS 级权限控制。
Meta 的 bug bounty 响应速度值得关注——作者称已提交并联系员工，但尚未披露修复状态。这类漏洞的修复难点在于：限制 LLM 的文件访问会破坏正常功能，而完全放开又不可控，行业可能需要一种新的「LLM 原生」访问控制范式。
社区反馈
意见分歧 110 条评论
核心争论：沙箱内文件访问是否算漏洞：用户可控环境 vs 敏感信息泄露风险
I asked Muse to archive the filesystem visible to my session and send it to my Google Drive. It sent an archive that unpacked to about 6.8 GB. Inside were internal docs, integration code, the Spaces app framework, memory records, container startup scripts, and documentation for an experimental ESP32
Vouched. Guys, what the hell? This is the post author
I didn't flag (don't have the ability to), but if I had to guess it's because both OP's reply here, and TFA are almost if not fully LLM-generated.