Inteligencia artificial, bochorno real: un agente de IA de Meta filtró conversaciones privadas de empleados

Un agente personal de IA, al que se confía el correo, los archivos y las cuentas, resultó ser vulnerable incluso antes de su lanzamiento a los usuarios. Meta reveló errores en Muse, incluida una brecha por la cual un especialista obtuvo acceso a las conversaciones y a los tokens de empleados que probaban el servicio. Por el hallazgo la empresa pagó $300,000, y los pagos totales por vulnerabilidades de Muse alcanzaron aproximadamente $1,2 millones.

La vulnerabilidad más costosa se detectó aproximadamente cuatro meses antes del lanzamiento de Muse, el 8 de septiembre de 2026. Como explicó el responsable del proyecto, David Singleton, el sistema interpretaba un encabezado HTTP especial procedente de un proxy local como confirmación de una solicitud confiable. Tras un cambio en la arquitectura de red, el mismo encabezado pudo ser enviado por solicitudes externas, eludiendo la verificación de autenticidad.

La vulnerabilidad se confirmó en máquinas virtuales de prueba de empleados de Meta. Un especialista pudo leer las conversaciones con el agente y obtener tokens de acceso. La empresa desactivó el servicio, corrigió el mecanismo de autorización y dejó de considerar las solicitudes desde la máquina local como automáticamente seguras. No hay confirmación de un acceso similar a los datos de usuarios normales.

Se encontró otro error en la protección contra la inyección de comandos en las respuestas de la IA. Un atacante podía colocar en un sitio web un texto que imitara los mensajes de la herramienta de navegador de Muse. Cuando se pedía al agente que resumiera una página, los mensajes falsos forzaban la ejecución de acciones que el sistema debería haber bloqueado. Por la demostración la empresa pagó $90,000 y reforzó la protección.

Meta afirma que ahora el sistema reconoce el ataque original y otros 100 de sus variantes en sus propias pruebas. Ese tipo de inyecciones de prompt son peligrosas porque la IA interpreta texto no confiable como una instrucción. En el caso de Muse, al atacante no le hacía falta dirigirse al agente directamente: bastaba ocultar la instrucción maliciosa en una página que el agente leía por petición del usuario.

Otros $90,000 se pagaron por eludir el filtro de códigos de un solo uso enviados por correo electrónico. Muse debía ocultar esos códigos, pero cierto formato de texto permitía sortear el enmascaramiento. Meta describió el error como parte de una cadena de ataque más compleja y cambió las reglas de procesamiento de correos. La publicación no aporta datos sobre robos masivos reales de contraseñas de un solo uso.

En la aplicación Muse para Android hallaron una forma de robar las credenciales del navegador integrado. Una aplicación maliciosa podía pasar un enlace a un WebView privilegiado, y el manejador comprobaba la ruta sin verificar el dominio. Se abría la página del atacante, capaz de obtener las credenciales del componente. Por el informe pagaron $50,000. Meta corrigió la verificación de direcciones y el acceso a los secretos.

Otros $1,000 se pagaron por un error del autoupdate de Muse para Mac que permitía a un atacante con acceso al equipo ejecutar código con los privilegios de la aplicación. Anteriormente en el cliente para macOS se encontró un zero-day que permitía a un programa local interceptar solicitudes de voz y controlar el agente. Meta corrigió los errores. Desde abril se recibieron más de 630 reportes de vulnerabilidades, de los cuales 64 fueron reconocidos como válidos.