Meta corrige en 24 horas una vulnerabilidad de día cero en Muse para Mac

Meta corrigió en menos de 24 horas una vulnerabilidad de día cero en la aplicación de Muse para Mac, su agente de IA personal, después de que el investigador Patrick Wardle la hiciera pública el 21 de septiembre. El fallo permitía que un proceso local sin privilegios desviara el audio dictado y los mensajes del usuario a un servidor controlado por un atacante. No se trataba de una puerta abierta a cualquiera desde internet, como podría sugerirse, sino de un fallo que exigía tener ya código ejecutándose en el equipo. Aun así, es un buen ejemplo de los riesgos de los agentes con permisos amplios.

Qué se descubrió

Wardle, fundador de la Objective-See Foundation y conocido investigador de seguridad de macOS, publicó su hallazgo en un hilo de X el 21 de septiembre, cuatro días después de que Meta lanzara la aplicación de escritorio de Muse. Según InfoQ, el problema estaba en una preferencia de configuración no documentada, llamada endo_voyager_dictation_endpoint, que cualquier aplicación o script que se ejecutara con la cuenta del usuario podía modificar sin que macOS mostrara alertas de permiso. Al cambiar esa dirección, el dictado que el usuario enviaba al pulsar el micrófono de Muse iba al servidor del atacante, que también podía capturar el token de autenticación de la cuenta. Wardle lo bautizó como not-a-mused.

Qué requería y qué no

• Requería un acceso local previo: según varias coberturas, la prueba de concepto necesitaba que un atacante ya ejecutara código como el usuario local de macOS. No es un ataque remoto sin más.
• El alcance depende de los permisos del agente: como Muse puede conectarse a aplicaciones de Meta y a servicios de terceros, un asistente comprometido puede dar acceso a mucho más que una conversación.
• Hay desacuerdo sobre la gravedad: según Forkast, la valoración del asunto en el sentido de que hace falta un acceso local previo es estrecha, y Wardle la discute.

La respuesta de Meta

Wardle escribió el 22 de septiembre que Meta había corregido el fallo con una actualización rápida, y elogió la velocidad. Según una cobertura técnica, la solución eliminó el ajuste vulnerable de las versiones de producción. Sin embargo, según InfoQ, la empresa no publicó un aviso de seguridad formal ni coordinó con una autoridad de numeración de CVE, de modo que la vulnerabilidad carece de identificador oficial. El mismo medio recuerda que el consejero delegado, Mark Zuckerberg, había afirmado que el asistente estaba construido desde cero pensando en la privacidad y la seguridad.

Por qué importa más allá de este fallo

El fallo no es un ataque de inyección de instrucciones ni un problema de alineación del modelo: es una debilidad clásica de configuración local. Precisamente por eso es instructivo: un agente con acceso a correo, archivos, cuentas y herramientas de pago convierte cualquier debilidad convencional del programa en una vía hacia todo lo que tiene conectado. Cuantos más permisos, mayor el impacto de un fallo. Es la misma línea de preocupación de el caso de los mensajes privados que un columnista dice que Muse leyó y de la exposición de su sistema de archivos.

Qué hacer

• Actualizar la aplicación de Muse para Mac a la última versión.
• Revisar los permisos concedidos al agente y quitar los que no se usen.
• Mantener el sistema limpio de software sospechoso, porque este tipo de fallos aprovechan que ya haya código local malicioso.

Nuestra lectura

La rapidez de la corrección es una buena noticia, y la divulgación pública, por polémica que sea, funcionó para acelerarla. Pero el episodio deja preguntas: por qué existe un ajuste de depuración tan poderoso en una versión de producción, y por qué no hubo un aviso formal. Un producto que llega a cientos de miles de usuarios en su primera semana, como vimos en el debut de Muse, necesita un nivel de seguridad acorde con los permisos que pide.

Fuentes: Unite.AI, InfoQ, Forkast y Tech Journal.