Se ha detectado una vulnerabilidad de día cero en el agente de IA Muse de Meta para macOS. Este fallo permitiría que un malware ya presente en el sistema secuestre el asistente para interceptar comandos de voz, inyectar instrucciones maliciosas y robar credenciales de autenticación. El riesgo es crítico ya que el atacante podría aprovechar los amplios permisos y el acceso a servicios conectados que el usuario ha otorgado a la herramienta.

Una vulnerabilidad de día cero en el agente de IA Muse de Meta para macOS podría permitir que un malware que ya se esté ejecutando bajo la cuenta de un usuario secuestre al asistente, intercepte los comandos dictados, inyecte instrucciones maliciosas y robe material de autenticación.

El fallo es especialmente preocupante porque un agente comprometido podría heredar los extensos permisos y el acceso a servicios conectados que tú hayas confiado a Muse.

El investigador de seguridad Patrick Wardle, fundador de Objective-See, reveló el problema junto con un exploit de prueba de concepto llamado “not-a-mused”. Su investigación descubrió que Muse expone un ajuste de configuración no documentado llamado endo_voyager_dictation_endpoint, que un proceso local sin privilegios puede modificar sin necesidad de permisos elevados. Cambiar ese valor redirige el tráfico de dictado de Muse desde su destino previsto hacia un servidor controlado por un atacante.

Una vez que el punto final es redirigido, un atacante podría capturar el audio dictado y los comandos antes de que lleguen al backend de Muse, manipular las instrucciones entregadas al agente y obtener datos de autenticación asociados con tu cuenta. Esto crea una vía para la inyección de prompts y el secuestro de sesiones, permitiendo potencialmente que se entreguen comandos o contenido malicioso a través de un flujo de trabajo de IA confiable.

Vulnerabilidad de Día Cero del Agente de IA Muse de Meta

La vulnerabilidad no proporciona ejecución remota de código contra un Mac limpio. Un atacante debe primero obtener la capacidad de ejecutar código como el usuario local, quizás a través de malware convencional o una técnica de ingeniería social. Sin embargo, Wardle sostiene que el defecto actúa como una amplificación de acceso: un malware ordinario limitado por los controles de privacidad de macOS podría atacar a Muse y explotar la autoridad más amplia ya otorgada al agente.

Por lo tanto, el exploit resalta cómo un punto de apoyo de bajos privilegios puede volverse peligroso cuando un agente confiable posee una autoridad delegada expansiva en los servicios conectados.

Esa autoridad puede ser sustancial. Meta dice que Muse puede trabajar con archivos, aplicaciones y pestañas del navegador, conectarse al correo electrónico y calendarios, navegar por la web, realizar compras y seguir realizando tareas en segundo plano. También puede solicitar aprobación para acciones sensibles y mantener un registro de auditoría, pero un atacante que controle su canal de comandos confiable podría estar posicionado para hacer mal uso de los recursos conectados.

La prueba de concepto de Wardle implementa solo un subconjunto de los más de 50 comandos expuestos por Muse. Según se informa, demostraciones independientes mostraron que la cuenta comprometida identificaba dispositivos vinculados y ordenaba a un iPhone en línea que devolviera información de ubicación o iniciara un escaneo de Bluetooth Low Energy, extendiendo el impacto potencial más allá del Mac infectado.

La revelación ha intensificado las preocupaciones sobre que los agentes de IA altamente privilegiados se conviertan en puntos únicos de fallo. Wardle señaló que las herramientas de detección de endpoints podrían tener dificultades para distinguir acciones iniciadas por un usuario, el agente o un atacante cuando los comandos se ejecutan a través de una aplicación firmada y confiable. Según se informa, un exgerente de ingeniería de seguridad de IA de Meta también dijo que no usaría Muse debido a preocupaciones de seguridad y privacidad.

Meta comercializa a Muse como un agente personal centrado en la seguridad, construido alrededor de una VM segura dedicada, almacenamiento de credenciales protegido y permisos controlados por el usuario. La empresa también opera un programa público de recompensas por errores (bug bounty) que ofrece hasta 300.000 dólares por fallos de seguridad calificados de Muse o informes impactantes de inyección de prompts. Meta no había respondido públicamente a los hallazgos específicos de Wardle cuando aparecieron los informes iniciales.

Hasta que haya una solución verificada disponible, tú como usuario de Mac deberías tratar a Muse como un objetivo de seguridad de alto valor. Puedes reducir la exposición pausando la aplicación, revisando y revocando permisos y cuentas conectadas innecesarias, rotando las credenciales de autenticación si sospechas de un compromiso, y monitoreando cualquier actividad inesperada del agente. Las organizaciones también deberían restringir los agentes de IA no aprobados en Macs gestionados e investigar cualquier proceso que modifique la configuración del punto final de Muse.