El investigador de seguridad Patrick Wardle reveló públicamente el 21 de septiembre de 2026 un zero-day en Muse, el agente de IA personal de Meta: un ajuste interno sin documentar en la función de dictado por voz podía ser modificado por cualquier proceso local sin privilegios especiales, permitiendo a un atacante redirigir ese tráfico a un servidor propio y capturar tanto el audio dictado como el token de acceso a la cuenta Muse del usuario. Meta desplegó un parche de emergencia al día siguiente, 22 de septiembre. Gizmodo, The Information y varios medios de seguridad confirmaron el hallazgo y la corrección.
Muse, el asistente personal de IA que Meta lanzó este año, incluía un ajuste de desarrollo llamado internamente algo como "endpoint de dictado" que definía a qué servidor se enviaba el audio capturado por la función de dictado por voz de la app para Mac. Ese ajuste vivía en las preferencias locales de la aplicación y, según la prueba de concepto documentada por Wardle, podía ser modificado por cualquier otro programa corriendo bajo la cuenta del usuario, sin necesidad de permisos de administrador ni de ningún tipo de autorización explícita.
Un atacante que ya tuviera código corriendo en la Mac de la víctima —por ejemplo, a través de malware previamente instalado— podía cambiar ese endpoint para que el audio dictado por el usuario viajara a un servidor bajo su control. Junto con el audio, el servidor del atacante recibía también un token de autenticación de la cuenta Muse del usuario. Lo relevante es que Muse no es un simple chatbot: cada usuario tiene asociada una máquina virtual individual en la nube con datos como correos electrónicos y archivos personales, así que ese token de autenticación robado podía traducirse en acceso a contenido mucho más sensible que una simple transcripción de voz.
Meta corrigió el fallo en menos de 24 horas desde la divulgación pública, algo que Wardle reconoció públicamente como una respuesta veloz. Pero el patrón de fondo es el mismo que se ha repetido con otros agentes de IA lanzados en 2026: el problema no fue un modelo de lenguaje "alucinando" o comportándose mal, sino un ajuste de ingeniería —pensado para desarrollo interno— que quedó expuesto en el producto final sin las validaciones de privilegio que tendría cualquier otro componente sensible del sistema operativo.
Si tu empresa está evaluando desplegar asistentes de IA con memoria persistente, acceso a correo/calendario o una "computadora" dedicada por empleado —ya sea de Meta, de un competidor, o una solución interna construida sobre un LLM con herramientas—, este incidente es un recordatorio concreto de qué preguntar antes de firmar: ¿qué ajustes internos del agente son modificables por procesos locales sin privilegios elevados? ¿Qué pasa si el token de sesión del agente se filtra: a qué exactamente le da acceso? Auditar esos límites de confianza local, y no solo la seguridad del lado del proveedor en la nube, debería ser parte del checklist de adopción de cualquier agente de IA con acceso a datos sensibles del empleado.
Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel