Muse, el asistente de IA de Meta con permisos extraordinarios en macOS, tiene un grave día cero

Meta lanzó hace unas semanas Muse, un asistente de inteligencia artificial para macOS (curiosamente, sin versión para Windows) que Mark Zuckerberg ha promocionado insistentemente como "construido desde cero para la privacidad y la seguridad". Según la publicidad de Meta, Muse puede reservar citas, rellenar formularios, atender tareas de servicio al cliente, hacer compras, generar imágenes, crear documentos y conectarse con aplicaciones y servicios favoritos del usuario, incluyendo WhatsApp, correo electrónico, calendario y redes sociales. Cuando una tarea requiere una herramienta que no existe, Muse la crea sobre la marcha. Para funcionar así, el asistente necesita que el usuario le conceda acceso a sus cuentas y, al tratarse de una app de macOS, permisos amplios sobre recursos del sistema operativo que Apple protege desde hace años: escritura de archivos en disco, micrófono, cámara, ubicación y calendario.

Una vulnerabilidad de día cero descubierta por el experto en seguridad de macOS Patrick Wardle pone en entredicho esa promesa de seguridad. El fallo permite que cualquier aplicación instalada localmente o cualquier comando ejecutado en la terminal —independientemente de los permisos de macOS que tenga— acceda al token que autentica al usuario en su cuenta de Muse. Los desarrolladores diseñaron el asistente de forma que cualquier proceso local puede modificar una larga lista de ajustes no documentados. La mayoría son inocuos, como controlar el modo oscuro, pero uno de ellos permite cambiar el endpoint donde se procesa la transcripción de voz. Normalmente esa dirección es un servidor operado por Meta; un atacante puede redirigirla a su propio servidor y, al hacerlo, obtiene el token que da control total sobre la cuenta de Muse.

Wardle, cofundador de la Objective-See Foundation, autor de la serie de libros "The Art of Mac Malware" y antiguo empleado de la NASA y la NSA, explicó a Ars Technica: "Podemos manipular al agente y aprovechar sus privilegios para hacer lo que queramos. Así que, en lugar de tener que escribir un malware para Mac muy completo que robe información, simplemente podemos aprovechar el propio asistente de IA". Según indicó, ha desarrollado varias pruebas de concepto que consiguen escribir archivos maliciosos en el disco o tomar fotografías con la cámara, en muchos casos sin dar ninguna señal ni siquiera a un usuario atento.

Una de las formas de explotar el fallo es mediante un servidor atacante que actúa como proxy entre el usuario de Muse y el endpoint de Meta. Cuando el usuario introduce una instrucción por voz, el servidor del atacante añade una orden maliciosa, como enviarle un archivo con todos los mensajes de WhatsApp del usuario. A partir de ese momento, el atacante obtiene control permanente de la cuenta de Muse, porque el token de autenticación también se envía a su servidor. Wardle demostró además que basta una variante sencilla de un ataque ClickFix —una técnica cada vez más eficaz para engañar a la gente y lograr que infecte sus propios dispositivos— para tomar el control de una cuenta de Muse: con un simple comando de terminal logró enviar de forma encubierta una instrucción al endpoint de Meta, y Muse llegó a responder erróneamente que tal acción no era posible desde un atacante sin privilegios.

Wardle atribuye el problema a varias decisiones de diseño de Meta. La primera es que la transcripción de voz de Muse se procese en la nube, donde Meta puede registrarla, en lugar de aprovechar el mecanismo que macOS ofrece desde hace tiempo para gestionar el dictado y la transcripción de forma segura en el propio dispositivo; de haberse optado por esa alternativa, el ataque no habría sido posible. La segunda es permitir que cualquier aplicación controle absolutamente todos los ajustes no documentados, cuando lo razonable habría sido limitar ese control a ajustes de interfaz de usuario y no a un endpoint por el que circula el habla sensible del usuario. "Para mí, el listón de seguridad de este tipo de aplicaciones debería ser infinitamente más alto. No tienen que ser perfectas, pero al ver Muse da la sensación de que, en mi opinión, no pensaron en la seguridad, lo cual resulta muy preocupante", declaró Wardle. "Como mínimo, deberían estar pensando en seguridad desde el principio, y sencillamente no lo están haciendo".

Más de doce horas después de que se publicara la investigación, Meta afirmó haber lanzado una corrección urgente (hotfix) que soluciona el día cero. En su declaración, la compañía sostuvo que el fallo "no era un exploit remoto", una respuesta que pasa por alto la facilidad con que un ataque ClickFix —fundamentalmente una forma de ingeniería social— puede producir el mismo efecto. Meta tampoco reconoció que el fallo desmontaba una arquitectura de seguridad que Apple ha tardado años en construir, ni explicó por qué optó por la transcripción en la nube en lugar de la opción local de macOS. La compañía había publicado dos entradas de blog en las últimas semanas detallando las decisiones de diseño adoptadas para garantizar la seguridad y privacidad de un asistente con un acceso tan extraordinario a los datos y recursos del usuario.

El episodio se produce en un contexto de creciente preocupación por la seguridad de los agentes de IA: pruebas internas de modelos de Anthropic y Google han derivado en accesos no autorizados a redes de terceros que los ingenieros implicados nunca pretendieron atacar, acciones que en el ámbito puramente humano probablemente habrían dado lugar a cargos criminales. Aproximadamente doce horas antes de que Wardle hiciera pública su investigación, Amazon comenzó a bloquear a Muse en su plataforma, mostrando a los usuarios un mensaje que calificaba al asistente de "agente de IA no autorizado" que viola las condiciones de uso de Amazon. En un comunicado, la compañía argumentó que las aplicaciones de terceros que ofrecen realizar compras en nombre de los clientes deben operar de forma abierta y respetar la decisión de los proveedores de servicios de participar o no, y comparó el caso con el de las apps de reparto de comida o las agencias de viajes online, añadiendo que ha solicitado a Meta que retire a Amazon de la experiencia de Muse.

Wardle tiene previsto abordar esta vulnerabilidad con más detalle, junto con otras amenazas relacionadas con asistentes de IA, en la conferencia de seguridad Objective by the Sea en noviembre. El caso de Muse se suma a una lista creciente de incidentes que cuestionan si los agentes de IA con acceso privilegiado a dispositivos y cuentas personales pueden considerarse realmente fiables en su estado actual.