Meta corrige rápidamente la vulnerabilidad de día cero de Muse que permite a los atacantes secuestrar el agente de IA.

El investigador de seguridad Patrick Wardle dijo el 22 de septiembre de 2026 que Meta había aplicado un hot‑fix a una vulnerabilidad de día cero en Muse, su recién lanzado agente personal de IA, tras su divulgación pública el 21 de septiembre de 2026, en la que explicó que un proceso local sin privilegios podía redirigir el tráfico de dictado de la aplicación Mac a un punto final controlado por el atacante y secuestrar el agente de forma invisible.

Divulgación pública y confirmación del parche

Wardle publicó sus hallazgos en un hilo de X que comenzó a las 14:42 UTC del 21 de septiembre de 2026, advirtiendo a los usuarios que no instalaran Muse y señalando que fallas graves de día cero podrían permitir que malware local o atacantes secuestren el agente de forma invisible. Adjuntó el hilo a un repositorio de prueba de concepto en GitHub titulado “not-a-mused”; el historial de commits del repositorio muestra sus tres confirmaciones —añadiendo el título y la descripción del proyecto, creando el script notamused.py y actualizando el README— todas fechadas el 21 de septiembre de 2026.

En una publicación en su perfil de X con marca de tiempo 06:36 UTC del 22 de septiembre de 2026, Wardle escribió “¡Hurra, hot‑fix aplicado!” y elogió la rapidez del parche. En una publicación posterior ese mismo día, escribió que es fan de la divulgación completa, diciendo que así los errores se corrigen más rápido. En su hilo de divulgación, había dicho que compartiría más detalles, y más fallas, en la conferencia de seguridad Objective by the Sea v9.

La vulnerabilidad del punto final de dictado

Según la documentación de la prueba de concepto, Muse expone una configuración no documentada llamada endo_voyager_dictation_endpoint que un atacante local o malware puede modificar sin privilegios especiales. Cuando un usuario pulsa el botón de micrófono de Muse y dicta una solicitud, el hilo de Wardle indica que la aplicación envía la dictación al punto final controlado por el atacante. El README enumera las posibles consecuencias: captura del audio y las solicitudes dictadas, inyección de solicitudes en Muse, robo del material de autenticación de Muse y abuso de cualquier acceso que el usuario haya concedido al agente. La documentación del repositorio resume el impacto en una sola línea: “El acceso de Muse puede convertirse potencialmente en el acceso del atacante”.

La prueba de concepto implementa un subconjunto de los más de 50 comandos que Muse expone y se activa a través del flujo de dictado del botón de micrófono, según el README. El README señala que el ataque es local: el atacante ya debe poder ejecutar código como el usuario local. Enmarca el riesgo como uno de amplificación, indicando que Muse puede tener un acceso significativamente más amplio que el malware local ordinario, lo que lo convierte en un objetivo particularmente útil para la amplificación de privilegios y acceso.

En su hilo, Wardle enumeró el impacto práctico de un secuestro exitoso: robar el audio dictado por el usuario, inyectar solicitudes que Muse confía y ejecuta, y robar el token de autenticación del usuario para controlar Muse de forma directa e invisible. Cualquier cosa a la que el usuario hubiera concedido acceso a Muse, incluidos mensajes, correos electrónicos y finanzas, también quedaría expuesta al atacante local, escribió. En una publicación separada el 21 de septiembre, calificó la vulnerabilidad de trivial de explotar y solicitó una solución.

Dispositivos conectados y un vector remoto

La exposición que describió Wardle se extiende más allá de una sola Mac. En una publicación a las 20:30 UTC del 21 de septiembre de 2026, escribió que una vez que se explota una Mac, un atacante puede interactuar con cualquiera de los dispositivos conectados del usuario que también ejecuten Muse, incluida la asignación remota del cliente móvil de Muse en iOS de forma invisible.

Wardle escribió el 22 de septiembre de 2026 que también existía un vector remoto: un ataque al estilo ClickFix que requiere solo un comando ejecutado por el usuario podría ejecutar el secuestro y otorgar a un atacante remoto control a nivel de Muse sobre todos los dispositivos habilitados con Muse del objetivo, incluido iOS. Señaló este punto tanto en la publicación que confirmó el parche como en una respuesta de seguimiento en su hilo de divulgación.

Diseño de seguridad documentado de Meta

Meta lanzó Muse el 8 de septiembre de 2026, presentándolo como el agente personal de la compañía en una publicación de blog de investigación que detalla la arquitectura de seguridad del sistema. Meta afirmó que diseñó el sistema asumiendo que el agente podría estar bajo ataque y para limitar el daño potencial. Según ese diseño, el daemon del agente y las herramientas que ejecuta se ejecutan dentro de una celda de tiempo de ejecución systemd-nspawn aislada del sistema host, y un agente separado del host llamado Sentinel actúa como la única autoridad de permisos para las acciones de conectores y para todo el tráfico de salida de red. Las credenciales para los servicios conectados se almacenan en la máquina virtual del usuario, y Sentinel realiza la inserción de credenciales justo a tiempo en el límite de la red, de modo que el agente nunca ve los tokens reales, según la publicación.

En la misma publicación, Meta indicó que estaba abriendo el programa de recompensas por vulnerabilidades de Muse a cualquier persona, con premios de hasta $300,000 por informes válidos, incluidos hasta $130,000 por intentos exitosos de inyección de solicitudes que afecten a un solo usuario.

Centro de ayuda de Meta documenta protecciones adicionales: la máquina virtual de cada usuario de Muse está aislada de los agentes de otros usuarios, las credenciales como nombres de usuario y contraseñas se guardan en un Almacén de Credenciales Seguras que permite a Muse completar acciones autorizadas sin que el modelo de IA vea la contraseña, y Muse está diseñado para solicitar confirmación antes de ciertas acciones importantes, como enviar un correo electrónico o realizar una compra. El Centro de ayuda indica que los controles importantes de permisos y seguridad funcionan de forma independiente del modelo de IA, por lo que no dependen de que el modelo reconozca por sí mismo una instrucción maliciosa.

La publicación de investigación de Meta afirma que Muse no es inmune a los ataques y que la inyección de indicaciones sigue siendo un problema abierto en toda la industria. La empresa dijo que planea ofrecer una VM confidencial de Muse, diseñada para impedir criptográfica y verificablemente que Meta acceda a los datos en la VM de un usuario, a finales de este año.