El asistente Muse AI de Meta se envió con una grave vulnerabilidad de día cero que permitía que cualquier aplicación instalada localmente robara el token de la cuenta Muse de un usuario y utilizara como arma los privilegios inusualmente amplios del agente, según un informe de Ars Technica.
La falla fue descubierta por Patrick Wardle, un veterano investigador de seguridad de macOS, fundador de la Fundación Objective-See y ex empleado de la NASA y la Agencia de Seguridad Nacional. Su revelación llega en un momento delicado para Meta: aproximadamente 12 horas antes de que Wardle se hiciera público, Amazon ya había comenzado a impedir que las personas usaran Muse para comprar en su sitio, llamándolo un "agente de IA no autorizado" que viola las Condiciones de uso de Amazon. Para más contexto sobre esta historia, consulta nuestra novedades de IA.
Cómo funcionó Muse Zero-Day
Muse, que Meta presentó hace unas semanas, está diseñado para ser un asistente personal agresivo. Según Ars Technica, "reserva citas, completa formularios y maneja el servicio al cliente", "elimina tareas de manera proactiva" y puede "realizar compras, generar imágenes, crear documentos y conectarse con sus aplicaciones y servicios favoritos". La aplicación se ejecuta en macOS (curiosamente no existe una versión para Windows) y se conecta a las cuentas de WhatsApp, correo electrónico, calendario y redes sociales del usuario.
Ese nivel de acceso es lo que hace que la vulnerabilidad sea significativa. Para que Muse funcione, los usuarios deben autenticarlo en cada servicio y otorgarle amplios permisos del sistema operativo: escribir archivos en el disco, acceder al micrófono y la cámara, y monitorear la ubicación y los calendarios.
Wardle descubrió que los desarrolladores de Meta diseñaron el asistente para que cualquier aplicación instalada localmente o comando ejecutado, independientemente de sus propios permisos de macOS, pudiera cambiar una larga lista de configuraciones no documentadas. La mayoría de esas configuraciones eran inocuas, como alternar el modo oscuro. Uno, sin embargo, controlaba dónde se procesa la voz sensible del usuario, y el mismo mecanismo podría exponer el token que autentica a un usuario en su cuenta de Muse.
"Podemos manipular al agente y aprovechar sus privilegios para hacer lo que queramos", dijo Wardle a Ars Technica. "Entonces, en lugar de tener que escribir un ladrón de malware para Mac muy completo, podemos simplemente aprovechar el propio asistente de IA".
En la práctica, Wardle dijo que desarrolló varios ataques de prueba de concepto, incluidos algunos que escriben archivos maliciosos en el disco. Una ruta de ataque descrita implica que el servidor de un atacante actúe como un proxy entre el usuario de Muse y el punto final de Meta: una vez que el usuario pronuncia un mensaje de voz, el servidor del atacante inyecta un comando malicioso (por ejemplo, enviando un archivo de todos los mensajes de WhatsApp al atacante) y obtiene control permanente sobre la cuenta de Muse.
Decisiones de diseño bajo el microscopio
Wardle atribuyó el exploit a varias elecciones de diseño específicas. Una fue la decisión de Meta de manejar el dictado de Muse en la nube, donde la empresa puede registrarlo, en lugar de utilizar la transcripción en el dispositivo compatible desde hace mucho tiempo con macOS. Si se hubiera elegido la alternativa local más segura, afirmó, el ataque no habría sido posible.
Otra fue permitir que cualquier aplicación controlara el punto final de configuración no documentado. Wardle sugirió que Meta probablemente estaba destinado a que las aplicaciones asociadas ajustaran las preferencias de la interfaz, pero extender ese control al lugar donde se procesa el habla sensible convirtió una característica conveniente en una superficie de ataque.
"Para mí, el listón es infinitamente más alto en términos de seguridad de estas aplicaciones", afirmó Wardle. "No tienen que ser perfectos, pero cuando miras a Muse, es como si, en mi opinión, no pensaran en la seguridad, lo cual es realmente preocupante. Como mínimo, deberían pensar en la seguridad desde el principio, y simplemente no es así".
Meta publicó dos publicaciones en otras tantas semanas que documentan las decisiones de diseño de seguridad y privacidad detrás de un asistente con un acceso tan amplio a los datos del usuario, una línea de tiempo que ahora se lee de manera diferente a la luz de la divulgación. Ars Technica también destacó el contexto más amplio: revelaciones de que las pruebas internas de modelos de Anthropic y Google resultaron en violaciones de seguridad de redes externas de terceros que los ingenieros nunca tuvieron la intención de tocar.
Una revisión y una advertencia para la IA agente
Más de 12 horas después de que se publicó el informe, Meta dijo que lanzó una revisión que solucionó el día cero. Meta no respondió de inmediato a una solicitud de comentarios sobre el cronograma de la solución.
Los expertos en seguridad han argumentado durante mucho tiempo que una vez que un dispositivo se ve comprometido, todas las apuestas están canceladas, un contraargumento en el que a menudo se apoyan los proveedores de software privilegiado. Wardle rechazó ese marco para Muse: una simple variación de la técnica de ingeniería social ClickFix, que se ha vuelto notablemente efectiva para engañar a las personas para que infecten sus propios dispositivos, es todo lo que un atacante necesita para ejecutar código malicioso en la Mac de un objetivo.
Wardle planea discutir la vulnerabilidad y otras amenazas del asistente de IA con más detalle en la conferencia de seguridad Objective by the Sea en noviembre.
El episodio es un estudio de caso puntual sobre la deuda de seguridad que los productos de IA agentes pueden acumular cuando corren hacia el mercado. Un asistente que pueda leer sus mensajes, pagar sus compras y actuar en sus cuentas es, desde la perspectiva de un atacante, un objetivo único de alto valor, y comprometerlo es mucho más barato que crear malware personalizado para cada servicio que toca.
Para los usuarios, las lecciones prácticas son familiares pero recientemente urgentes: limitar el acceso a un asistente de IA, tratar sus privilegios tan en serio como trata sus propias credenciales y ser escéptico ante los productos que enrutan entradas sensibles, como el dictado de voz, a través de servidores de terceros de forma predeterminada. Para la industria, el mensaje de los investigadores es más contundente: la seguridad no puede ser un parche posterior al lanzamiento del software que contiene las claves de la vida digital de alguien.
---
Mantente al Día con la IALas últimas noticias, análisis y avances de inteligencia artificial, en un solo lugar.
Leer más noticias de IA →
