Muse, de Meta, comparte todo su sistema de archivos con muy poca insistencia, según dos desarrolladores

Dos desarrolladores, Peter James y Jonny L. Saunders, lograron por separado que Muse, el agente de IA de Meta, comprimiera y compartiera el contenido completo de su sistema de archivos raíz: archivos de Ubuntu, plantillas de aplicaciones y documentación interna. Saunders lo describió en Mastodon como extremadamente fácil de reproducir, y dijo que Muse tenía casi ninguna resistencia a la inyección de instrucciones. Meta sostiene que no es una brecha de seguridad, apoyándose en cómo está diseñado el sistema. La comunidad de seguridad no queda del todo convencida, y las propias pruebas muestran un comportamiento inconsistente del agente.

Qué se filtró exactamente

Según Crypto Briefing, el archivo exportado pesaba unos 2,7 GB comprimidos y contenía los archivos de sistema de Ubuntu, plantillas de aplicaciones y documentación interna, es decir, prácticamente todo el contenido del entorno Linux en el que opera Muse. Según GlobAI, la filtración incluyó archivos en texto plano, en formato Markdown y JSON, que detallan cómo el agente procesa las peticiones y se conecta a servicios como Gmail. Muse también ofreció su árbol de directorios completo y propuso sacar copias seguras de subcarpetas específicas que parecieran interesantes, según Daily Guardian.

Cómo lo consiguieron

Según Zetik, Saunders empleó una combinación de halagos y curiosidad para convencer a Muse de exportar el sistema de archivos de la máquina virtual. Al pedir directamente compartir el sistema de archivos, Muse se negó en principio alegando riesgo de seguridad, según CCTest, pero acababa cediendo con más insistencia. Ese comportamiento inconsistente, negarse primero y ceder después, es en sí mismo una señal de que las barreras no son fiables.

El argumento de Meta

Según Crypto Briefing, un portavoz de la compañía, Daniel Roberts, explicó que Muse funciona en máquinas virtuales Linux persistentes y aisladas para cada usuario, con contenedores systemd-nspawn y mapeo de root a nivel de usuario: cada persona tiene su propio entorno aislado. Sobre esa base, Meta sostiene que el acceso al sistema de archivos es una decisión de diseño deliberada, no un fallo, y que los archivos exportados no dan acceso privilegiado a la infraestructura de Meta ni a los datos de otros usuarios.

Por qué no todos están convencidos

El problema no es solo qué puede ver el agente, sino que su comportamiento demuestra tener casi ninguna resistencia a la manipulación por instrucciones, una debilidad conocida en agentes de IA con amplio acceso. Que Muse genere cientos de megabytes de código de librerías y binarios compilados en segundos, como señaló Saunders, también plantea dudas sobre si esa información es siempre precisa o si el agente podría inventar contenido convincente. Zetik menciona que la documentación filtrada hacía referencia a revisiones nocturnas llamadas dream y a controles codificados directamente en el sistema, detalles internos que normalmente no estarían al alcance de un usuario.

La respuesta de Meta

Según SSBCrack News, Meta reaccionó rápido con una corrección. Según Ground News, la empresa también refuerza ahora el aviso de seguridad de Muse tras el hallazgo. Es un patrón que ya vimos con el fallo de día cero corregido en 24 horas en la versión para Mac: reacción rápida ante la divulgación pública, pero con el patrón de fondo repitiéndose en distintas partes del producto.

Qué implica en la práctica

• Para usuarios de Muse: asumir que un agente con acceso amplio puede ser persuadido a revelar información interna, y evitar compartir con él información verdaderamente sensible.
• Para el debate de seguridad: que un fallo no comprometa a otros usuarios no significa que no sea un problema; expone cómo funciona el sistema por dentro, información que puede facilitar otros ataques.
• Para el sector: refuerza la necesidad de auditorías independientes de resistencia a la inyección de instrucciones antes de lanzar agentes con acceso a entornos completos.

Nuestra lectura

La defensa de Meta es técnicamente válida en un punto: el aislamiento por usuario limita el daño máximo posible. Pero eso no responde a la pregunta de fondo, que es si un agente debería ceder tan fácilmente información interna sobre su propio funcionamiento ante quien insista lo suficiente. A medida que estas herramientas ganan permisos y se conectan a correo, calendarios y otras cuentas, como vimos en el caso de los mensajes privados que Muse leyó, la resistencia a la manipulación deja de ser un detalle técnico menor y pasa a ser una condición básica de confianza.

Fuentes: Crypto Briefing, GlobAI, Zetik y CCTest.