Meta parchea el zero-day de Muse y abre debate sobre shadow AI

El zero-day que Meta parchó en menos de un día

Meta lanzó Muse el 8 de septiembre como su "agente de IA personal": envía correos, reserva viajes, completa formularios y hace compras en nombre del usuario. La app para Mac llegó el 17 de septiembre, y cuatro días después el investigador Patrick Wardle, fundador de Objective-See Foundation y ex empleado de la NASA y la NSA, reveló un zero-day que dejaba a cualquier malware ya presente en la Mac del usuario robarse el token de autenticación de Muse sin permisos especiales de macOS.

La cifra que hace la historia más grave la puso Sensor Tower (citado por VentureBeat): Muse superó los 2,5 millones de descargas en sus primeros 13 días, y según Digital Trends escaló al puesto #1 del App Store de Apple en EE. UU., por encima de ChatGPT.

La falla explotaba un ajuste interno no documentado en la app para Mac que redirigía el endpoint de transcripción y, con él, la credencial que controla la sesión del agente. Wardle demostró que, desde una Mac comprometida, el atacante podía obtener la ubicación de un iPhone enlazado —probó con un dispositivo en Barcelona— y disparar un escaneo Bluetooth Low Energy sobre él.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

Meta parchó la app en menos de 24 horas, retirando el ajuste de las versiones de producción. David Singleton, de Meta Superintelligence Labs, lo calificó como una escalada local de privilegios y no como un exploit remoto. Wardle confirmó el parche el martes y advirtió que una variante de los ataques tipo ClickFix bastaría para engañar al usuario y darle al atacante la ejecución local que el exploit necesita.

Por qué este fallo reordena la conversación sobre agentes IA

Muse no es solo un chat. La arquitectura que Meta describió en su blog de seguridad incluye una VM dedicada por usuario, un almacén de credenciales separado del runtime del agente y un proceso llamado Sentinel que aprueba las acciones del agente y el tráfico de red. El zero-day que Wardle descubrió no rompió esas protecciones en la nube: comprometió al cliente de Mac que Meta liberó nueve días después.

Aquí aparece el matiz relevante para un founder. Amazon bloqueó a Muse de comprar en su tienda online, según una nota de GeekWire recogida por Digital Trends: el minorista alegó que el agente se conectaba sin identificarse como bot y que Meta nunca pidió autorización. Las dos polémicas — el zero-day y el veto de Amazon — no están conectadas técnicamente, pero llegan juntas y exponen la misma verdad: cuanto más permisos recibe un agente, más consecuencias tiene cualquier cosa que salga mal.

Meta prometió para más adelante en 2026 una "Confidential VM" cifrada para que ni la propia compañía pueda acceder a los datos del usuario. Mientras tanto, la app de Mac sigue ejecutándose después de cerrar la ventana y, con permiso del usuario, lee archivos locales, Mensajes, Notas y Calendario.

Lo que Meta no publica (y tu equipo de seguridad no ve)

VentureBeat construyó una herramienta de seguimiento de oportunidades — Deal Desk Lite — enviando a Muse siete prompts en lenguaje natural: tabla con pipeline codificado por color, validación de CSV, briefing automático y más. La app calculó $140.000 en cuatro registros, rechazó entradas numéricas inválidas y dejó vacíos sin convertirlos en cero. En otra prueba, Muse escribió en 9 segundos una fila en una pestaña "Deal Feed" de un Google Sheet personal.

El detalle técnico importa. Por diseño, Sentinel sustituye el token real en el límite de la red, así que el agente nunca tiene materialmente la credencial con la que actúa. Pero una API key que un empleado entrega a Muse no genera un OAuth grant, y los controles que solo ven grants OAuth no la ven.

VentureBeat confirmó que la documentación de Meta no describe exportación de logs a SIEM, consola de administración ni integración con DLP para el producto de consumo. Meta no respondió a la solicitud de comentarios antes de la publicación.

Las cifras del sector ayudan a dimensionar el problema. Un artículo de Luiz Domingos en Forbes Technology Council reporta que una encuesta CISO reciente encontró que el 92% de las organizaciones no tiene visibilidad completa sobre las identidades IA, y el 95% duda de poder detectar un mal uso si ocurre. El mismo artículo cita a Gartner: el 69% de las organizaciones sospecha o tiene evidencia de que sus empleados usan GenAI pública prohibida, y la investigación State of Workforce Communication de Mitel coloca en 76% la proporción de trabajadores que admite usar canales no aprobados para comunicación laboral.

El precedente Vercel: shadow AI en OAuth real

El patrón no es hipotético. Bleeping Computer documentó el caso de Vercel: un empleado había conectado una app de Context.ai (descrita como un "AI Office Suite" de consumo ya retirado) a su Google Workspace personal. Cuando Context.ai fue comprometido —Vercel ni siquiera era cliente suyo—, el atacante pivoteó hacia Google Workspace del empleado y desde ahí accedió a paneles internos, registros, API keys, tokens de NPM y tokens de GitHub.

El caso no es aislado. En 2025, el grupo Scattered Lapsus$ Hunters lanzó ataques de cadena de suministro basados en OAuth tras comprometer Salesloft/Drift y Gainsight, según la misma cobertura de Bleeping Computer: más de 1.000 organizaciones afectadas —entre ellas Google, Cloudflare, Rubrik, Elastic, Proofpoint, JFrog, Zscaler, Tenable, Palo Alto Networks, CyberArk, BeyondTrust y Qualys— y más de 1.500 millones de registros robados. La misma nota reporta un aumento de 37 veces en ataques de phishing de "device code" con más de una decena de kits PhaaS en circulación.

En marzo, Help Net Security reportó que Astrix Security amplió su plataforma para cubrir "agentes shadow" que se ejecutan en dispositivos gestionados sin integración de plataforma, basándose en parte en la telemetría de EDR (CrowdStrike, SentinelOne, Microsoft Defender) y en el fingerprinting de identidades no humanas (OAuth apps, service accounts, API keys, PAT). El sector responde con herramientas porque el problema ya no es teoría.

¿Qué significa esto para tu startup?

Tres acciones que puedes implementar esta semana, incluso si tu equipo todavía no adoptó agentes formalmente:

Audita los grants OAuth que ya tienes, no solo los que se aprueban hoy. Si tu equipo usa Google Workspace o Microsoft 365, activa una política de default-deny para consentimientos nuevos y revisa los existentes al menos una vez al trimestre. Es el mismo toggle que habría evitado el incidente de Vercel.
No trates las API keys como OAuth grants. Si alguien en tu equipo le entrega a un agente (Moltbot, Muse u otro) una API key de un servicio crítico, esa credencial vive fuera del carril OAuth estándar. Necesitas visibilidad cruzada: logs de emisión de keys, actividad de conectores y el audit log del propio servicio.
Ten una "allow list" de agentes y un canal oficial. Forbes Tech Council lo resume bien: cuando los empleados adoptan IA sin permiso, casi siempre es porque el sistema aprobado es más lento. Una lista corta de agentes permitidos, con instrucciones claras, evita que aparezca shadow AI por la puerta trasera.

El mérito de Meta queda en haber parchado rápido. La pregunta abierta —quién ve lo que hace cada agente en cada Mac, navegador o SaaS de tu organización— sigue sin dueño.