Muse de Meta quiere tus cuentas de trabajo: decide qué toca

Un asistente que actúa en tus cuentas

Muse es el agente de IA personal de Meta. Un agente es software que hace recados por ti (leer correo, reservar, comprar, rellenar formularios) en lugar de limitarse a responder preguntas. Desde el evento Connect de Meta esta semana, también puede llegar a herramientas que mucha gente usa en el trabajo. La publicación de Connect de Meta las enumera:

For getting work done, there's Notion, Granola, GitHub, and Box.

En la misma publicación, Meta dice que Muse tendrá su propia dirección de correo electrónico. Meta lanzó Muse el 8 de septiembre, con despliegue en EE. UU. en iOS, Android y muse.ai. Muse también tiene una app de Mac: es la versión que concierne a la investigación de seguridad de más abajo, y la que destaca John Gruber. Según la descripción de Meta, el Muse de cada persona vive en su propio ordenador en la nube de Meta, y ahí es también donde se guardan las credenciales de cada servicio que conectas. Sobre el precio, Meta solo dice que es "free for most of what people need, with subscription plans for people who want to do more" (gratis para la mayor parte de lo que la gente necesita, con planes de suscripción para quienes quieran hacer más).

Así que la decisión que tienes delante no es si el asistente es inteligente. Es qué estás dispuesto a dejar que un solo programa maneje a la vez: tus notas, tu código, tus archivos compartidos, y posiblemente el derecho a enviar correos en tu nombre. Todo lo que Meta dice sobre mantener eso seguro es la propia descripción de Meta, y esta semana personas ajenas a la empresa empezaron a ponerla a prueba.

El acceso al trabajo llegó la misma semana en que empezaron las pruebas externas

La causa son dos cosas que coinciden. Meta amplió lo que Muse puede alcanzar, y personas ajenas a Meta mostraron dónde ese alcance puede salir mal. En pocos días:

• Alrededor del 20 de septiembre, Amazon empezó a bloquear que Muse comprara en su sitio, según informa Ars Technica.
• El investigador de seguridad Patrick Wardle publicó un fallo en la app de Mac de Muse. Es un ataque local: solo funciona si un atacante ya puede ejecutar un programa en tu Mac. Meta dijo que lanzó un hotfix, una actualización urgente, según informa Ars Technica.
• El 24 de septiembre, en Connect, Meta añadió los conectores de trabajo y anunció que Muse tendrá su propia dirección de correo electrónico.
• The Verge informó de que los usuarios podían descargar todo lo almacenado en el ordenador en la nube de Muse. Meta dice que eso es intencionado.

Lo que esto significa para quien tiene que decidir: las promesas de seguridad de la publicación de lanzamiento no han cambiado, pero ahora se interponen entre un agente y los documentos de tu empresa, en lugar de tu cesta de la compra. Las herramientas de trabajo llegaron los mismos días que el ataque publicado por un investigador contra la app que las contiene, y la negativa pública de un minorista a dejar entrar al agente.

Las promesas de Meta, y lo que los de fuera han comprobado de verdad

El argumento de Meta es una lista de controles en su publicación de lanzamiento, mostrada en la parte superior de esta página. Meta dice que Muse no puede ver tus contraseñas:

Muse has no visibility into people's passwords or payment methods.

Meta también dice que un segundo programa independiente, al que llama el Sentinel, comprueba todo lo que Muse intenta enviar:

Nothing Muse does reaches the internet unless the Sentinel approves it

Meta dice que Muse pregunta antes de acciones sensibles como enviar un correo o hacer una compra, que muestra un registro de auditoría completo de lo que ha hecho y planea hacer, y que para el correo eliges si solo lee o también puede enviar. El informe de seguridad de Meta añade que el agente solo maneja claves sustitutas, con las reales intercambiadas por el Sentinel en el último momento, de modo que engañar al agente para que entregue tus secretos no lleva a ningún sitio, según Meta. En las fuentes que encontramos, nadie fuera de Meta ha reportado haber probado el Sentinel, el intercambio a claves sustitutas, el registro de auditoría o el ajuste de solo lectura para el correo.

Una prueba externa vino de Wardle, que publicó una demostración funcional en GitHub. En una frase: la app de Mac de Muse tiene un ajuste oculto que decide adónde se envían tus instrucciones habladas, y un programa que ya se esté ejecutando en tu Mac puede cambiarlo.

A local attacker or malware can modify this endpoint without special privileges.

"Without special privileges" (sin privilegios especiales) significa sin contraseña de administrador. Aquí es donde las dos partes no se entienden. Los controles de Meta están hechos para mantener tus contraseñas lejos del agente. La preocupación de Wardle es que alguien pueda tomar el control del propio agente, y potencialmente con él todo lo que hayas conectado. Su propia página plantea el límite, y merece estar junto a cada mención de este fallo:

This is a local attack. An attacker must already be able to execute code as the local user.

Según Ars Technica, Meta dijo que lanzó un hotfix, y su declaración calificó el fallo de "not a remote exploit" (no es un exploit remoto): no se puede activar solo a través de internet. Dan Goodin, que escribió el artículo de Ars, argumenta que eso es más débil de lo que parece, por culpa de ClickFix, una estafa que engaña a la gente para que ejecute código en su propio ordenador. Un "0-day" (fallo de día cero) es un fallo hecho público antes de que exista una corrección.

The Meta statement said the 0-day was "not a remote exploit" even though an increasingly effective social engineering scam has the same effect.

Wardle, entrevistado por Goodin, va más allá, y él mismo lo matiza:

when you take a look at Muse, it's like they didn't, in my opinion, think about security, which is really worrisome

La objeción de Amazon es comercial. En una declaración enviada por correo a Ars Technica, Amazon dijo que las apps que compran en otros negocios en nombre de un cliente deberían operar de forma abierta y respetar la decisión de una tienda de no participar, tal como hacen las apps de reparto y las agencias de viajes. Y continuó:

Agentic third-party applications such as Muse have the same obligations, and we've requested that Meta remove Amazon from the experience.

Sobre la descarga del sistema de archivos, Meta argumenta que la apertura es precisamente el objetivo. The Verge informa de que David Singleton, de Meta Superintelligence Labs, escribió en X:

This was a very deliberate choice - your Muse Secure VM truly is your own computer in the cloud.

Una VM, o máquina virtual, es un ordenador en el centro de datos de Meta reservado para ti. No encontramos ningún crítico independiente de esta decisión. El artículo de The Verge, hasta donde se pudo leer sin suscripción, recogía la explicación de Singleton y ninguna objeción.

La voz externa más útil está dividida. John Gruber elogia la ingeniería:

It's the first consumer-accessible agentic AI system, and Meta has truly done an amazing job with that.

En la misma publicación, duda de que la gente sepa lo que ha activado:

I don't think people realize how powerful — and thus dangerous — Muse is, especially if it's running on your Mac.

Lo que nadie fuera de Meta ha reportado haber probado, en las fuentes que encontramos: si el Sentinel detiene lo que debería, si el intercambio a claves sustitutas se sostiene, si el registro de auditoría es completo, y si "read only" (solo lectura) en el correo se queda en "read only" (solo lectura). Tampoco nadie fuera de Meta ha informado de si el hotfix de Meta cerró toda la clase de problema o solo el ajuste concreto que encontró Wardle.

Conecta poco, y mantén fuera de su lista los recados públicos

Si pruebas Muse en el trabajo, configúralo para que un error, o un atacante, pueda hacer el menor daño posible.

• Lectura antes que envío. Meta dice que para el correo eliges si Muse solo lee o también puede enviar. Elige lectura. Aplica la misma regla a Notion, GitHub y Box: conecta el alcance más pequeño que ofrezcan los ajustes, y nunca un espacio de trabajo que no puedas permitirte que se copie.
• Usa su dirección, no la tuya. Meta describe la próxima dirección de correo de Muse como otra forma de comunicarte con él. Una vez que esa dirección esté activa, reenviarle el único hilo que quieres que gestione le da ese hilo, no toda tu bandeja de entrada.
• Mantén fuera de su alcance: el envío en tu nombre, los métodos de pago guardados, y cualquier repositorio de código o unidad compartida que pertenezca a tu empresa.
• Comprueba primero: que la app de Mac está actualizada e incluye el hotfix que Meta dice haber lanzado para el fallo de Wardle, que necesita un programa ya ejecutándose en tu Mac; que el entrenamiento sobre tus interacciones está desactivado, algo que Meta dice que puedes hacer; el registro de auditoría tras las primeras tareas; y la política de tu empleador sobre la conexión de agentes externos.
• Cuida la máquina. La condición de Wardle es un programa que ya se esté ejecutando en tu Mac. Si instalas herramientas de sitios que no conoces o pegas comandos de páginas web, ese Mac es el punto débil, y el argumento de ClickFix de Goodin te describe a ti.

Algunos recados que la gente le dará a Muse nunca necesitaron sus cuentas en absoluto: comprobar la página de existencias de un proveedor cada mañana, enviar el mismo formulario público cada semana, extraer un precio de un listado público. Para eso, un navegador con script es la herramienta más sencilla. En Latenode, un workflow puede manejar un navegador en la nube con Puppeteer, una librería en la que cada paso (abrir esta página, esperar a ese botón, escribir en este campo, copiar ese número) está escrito antes de la ejecución, así que puedes leer exactamente lo que va a hacer, y solo hace eso. La tarea no necesita iniciar sesión en tu bandeja de entrada ni en tus archivos, así que no hay nada tuyo que pueda retener. Pagas por los CPU-seconds que consume una ejecución, es decir, el tiempo de computación que consume, sin cargo mínimo por ejecución, así que una comprobación corta cuesta proporcionalmente poco. El plan gratuito incluye 10,000 CPU-seconds al mes y cinco workflows activos, lo que deja margen para probar una comprobación diaria sin pagar. Esto no es una conexión con Muse, y no necesita serlo: le quita al agente de su lista los recados que nunca requirieron tus cuentas.

Sí a una prueba de solo lectura. No a tu bandeja de salida, tu cartera y los archivos de tu empresa

Pruébalo en el trabajo si eres fundador o trabajas en solitario y tu calendario y tus notas no avergonzarían a nadie si se leyeran, y dale solo acceso de lectura. Gruber tiene razón en que Meta ha puesto algo nuevo en manos de la gente común, y un agente que puede leer tus notas y tu calendario merece una tarde de pruebas.

No le des el derecho a enviar correos en tu nombre, un método de pago, ni ningún repositorio de GitHub o carpeta de Box que contenga datos de clientes o de la empresa. Mantenlo así hasta que alguien fuera de Meta publique una prueba del Sentinel y del registro de auditoría. Esos controles, junto con la promesa de Meta de que Muse pregunta antes de enviar, son lo que se interpone entre un error y un correo a un cliente en tu nombre, y ahora mismo todo eso es la descripción de Meta.

No lo uses para el trabajo en absoluto si tu empleador no lo ha aprobado, si manejas datos de clientes bajo contrato, o si lo ejecutarías en un Mac donde instalas habitualmente software sin verificar o pegas comandos que encontraste en internet. Ese es el caso que describen tanto la condición de ataque local de Wardle como el argumento de ClickFix de Goodin.

Vuelve a mirarlo cuando aparezca una revisión independiente del Sentinel, o cuando Meta diga qué cubrió el hotfix. Hasta entonces, dale al agente lo que le darías a un empleado temporal nuevo en su primer día: algo que leer, y nada que firmar.