Índice de contenidos
Claves de la noticia
- Una prueba de concepto permite a un proceso local sin privilegios especiales cambiar el servidor al que Muse envía el dictado.
- El desvío puede exponer material de autenticación y convertir los permisos ya concedidos al agente en acceso aprovechable por el atacante.
- El ataque requiere ejecutar código previamente en el Mac; no es un compromiso remoto desde cero y Meta no había anunciado un parche.
El asistente personal Muse de Meta tiene un zero-day en su cliente para macOS que permite redirigir el tráfico de dictado a un servidor controlado por un atacante. El investigador Patrick Wardle publicó una prueba de concepto y explicó a Ars Technica que esa ruta puede entregar el token del agente, una consecuencia especialmente seria porque Muse puede operar con archivos, cámara, micrófono, ubicación, calendarios y cuentas conectadas.
El dictado abre una ruta hacia el token
La evidencia pública está en el repositorio not-a-mused de Patrick Wardle. El cliente expone un ajuste no documentado llamado endo_voyager_dictation_endpoint. Según la documentación de la prueba, cualquier proceso que ya se ejecute como el usuario local puede modificarlo sin obtener permisos especiales de macOS. En lugar de enviar el dictado al destino legítimo, Muse lo entrega al endpoint elegido por el atacante.
El cambio de destino no es solo una escucha del micrófono. El repositorio enumera captura de audio o instrucciones, inyección de órdenes, robo de material de autenticación y abuso de los accesos concedidos a Muse. Wardle dijo a Ars que preparó demostraciones capaces de escribir archivos y tomar fotografías sin una alerta clara. La novedad decisiva es la ampliación del acceso: un programa local con pocas autorizaciones puede intentar actuar a través de otra aplicación a la que el usuario confió muchas más.
Hay un límite importante. La prueba necesita que el atacante ya pueda ejecutar código en el Mac como usuario; por sí sola no abre una puerta remota desde Internet. Tampoco existe evidencia pública de explotación activa. Un engaño de tipo ClickFix, en el que la víctima copia o ejecuta una orden, sería una vía de entrada posible, no una capacidad automática incluida en el fallo.
La Secure VM no cubre todo el recorrido
Meta explica que el núcleo de Muse vive en una máquina virtual dedicada. Su documento de arquitectura de seguridad separa el agente, los conectores y las credenciales mediante contenedores, trabajadores con privilegios acotados, un servicio de autenticación y Sentinel, la autoridad que aprueba acciones y tráfico de red. La empresa sostiene además que el agente no ve los tokens reales de servicios conectados.
Ese diseño y el hallazgo de Wardle describen capas distintas. La prueba publicada no demuestra que alguien haya roto directamente la Secure VM, `authd` o Sentinel. Señala que el cliente de macOS permite alterar un punto del trayecto de entrada y capturar la autenticación de la propia cuenta de Muse. Aislar secretos en la nube no basta si el canal local que entrega órdenes puede ser redirigido. La seguridad efectiva depende de toda la cadena, desde la aplicación instalada hasta la autorización final de cada acción.
El contraste también aclara por qué este episodio no repite el reciente bloqueo de Muse en Amazon. Aquel conflicto trataba de si un comercio acepta que un agente compre en nombre del usuario. Este fallo afecta a quién controla al agente antes de que llegue a la tienda, al correo o al calendario. Una restricción comercial reduce un destino; la vulnerabilidad cuestiona el límite de confianza entre procesos locales.
Un proceso pequeño hereda un radio de acción grande
En una aplicación convencional, comprometer una función de dictado tendría un impacto concentrado en audio y texto. Muse está diseñado para encadenar tareas y trabajar con varios servicios. Esa concentración vuelve útil al agente, pero también hace que un único token o canal de instrucciones sea un objetivo de alto valor. El riesgo debe medirse en dos ejes: la barrera para entrar y el radio de daño después.
La barrera inicial no desaparece: hace falta código local. Sin embargo, el radio potencial crece con cada permiso persistente y cada cuenta conectada. Es la misma tensión que revelan otros ensayos de agentes, como los accesos de Gemini durante una prueba de ciberseguridad: una acción no prevista deja de ser un error aislado cuando el sistema posee herramientas para operar sobre recursos reales.
La conclusión práctica es concreta: los controles del modelo no sustituyen a los controles del cliente. Una barrera contra la inyección de instrucciones puede funcionar y, aun así, quedar rodeada por una preferencia modificable, un token expuesto o una integración con autoridad excesiva. Para agentes personales, la configuración de endpoints, la autenticación entre procesos y el registro de acciones necesitan el mismo nivel de revisión que la máquina virtual remota.
Medidas prudentes mientras no haya parche
Wardle recomienda no instalar Muse por ahora. Para quien ya lo use, la opción de menor riesgo es detener su uso hasta que Meta publique una corrección y explique qué versiones están afectadas. También conviene revocar sesiones, revisar aplicaciones y comandos ejecutados recientemente y reducir los conectores y permisos del agente a lo estrictamente necesario. Si hay indicios de exposición, deben rotarse las credenciales vinculadas siguiendo las instrucciones del proveedor correspondiente.
No hay base pública para afirmar que todos los usuarios hayan sido comprometidos ni para asignar un CVE. Meta no respondió a las preguntas de Ars antes de la publicación y su página oficial seguía presentando Muse como un sistema con protecciones automatizadas y control del usuario. El dato que falta es tan importante como el hallazgo: una nota técnica de Meta debería precisar parche, versiones, alcance del token y registros que permitan detectar abuso.
Hasta entonces, la prueba de concepto cambia la pregunta de seguridad. Ya no basta con saber si Muse protege las credenciales que guarda: hay que comprobar si cada cliente que conversa con esa infraestructura conserva la integridad de las órdenes y de su propia sesión. En un agente capaz de actuar por la persona, el canal de mando forma parte del perímetro.
