Apple blinda macOS ante agentes de IA tras el caso Muse

El caso que encendió las alarmas: Muse leyó mensajes sin permiso

El detonante fue un artículo del columnista Jason Aten en Inc. el 19 de septiembre. Aten instaló Muse, el agente de IA personal de Meta, en su iPhone y su Mac, y al pedirle que investigara su perfil el sistema le devolvió dos ideas de artículos basadas en conversaciones privadas: una charla por iMessage con su compañero de podcast Stephen Robles sobre el nuevo iPhone y un mensaje de su editor con una fecha de entrega.

Aten sostiene que nunca concedió acceso a Mensajes, Calendario ni datos personales durante la configuración. Cuando le preguntó a Muse cómo sabía el contenido de esos chats, el agente respondió que solo recibía "el stream de notificaciones entrantes, no acceso a tus textos". Pero la investigación posterior de Aten apuntó a que Muse había sincronizado la base de datos local de Mensajes de su Mac, llegando a la fila 187.462, según reportó Mashable. Para entonces, el control de Acceso total al disco aparecía desactivado en su equipo.

La respuesta de Meta llegó en dos capas. El VP de Comunicación Andy Stone escribió en X que "la integración de Mensajes en Muse para Mac es totalmente opt-in: hay que habilitar el Acceso total al disco y el conector de Mensajes para que pueda leer tu contenido". En paralelo, David Singleton, ejecutivo de Meta Superintelligence Labs, publicó en Threads que se requieren "tres pasos separados de permisos a nivel de aplicación y protecciones a nivel de sistema en macOS" y que esas capas "no pueden esquivarse aunque la app tuviera un bug".

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

No fue el único episodio. Apenas unos días antes, el youtuber Matt J. Robb denunció que Muse había compartido su dirección con un comprador de Facebook Marketplace y coordinado la entrega sin confirmarle antes, como reportó Mashable. El caso fue retomado por Ray Wong (Gizmodo) y republicado por Elon Musk, que lo calificó de "peligroso y creepy". El trasfondo corporativo ayuda a entender por qué la sospecha cala hondo: según Yahoo Finance/Benzinga, un jurado de Nuevo México concluyó recientemente que Meta engañó a usuarios sobre sus prácticas de datos en el caso derivado del escándalo de Cambridge Analytica.

Qué anunció Apple exactamente

Apple publicó el aviso en su web de desarrolladores, recogido por 9to5Mac y por Hipertextual. La compañía reconoce que el permiso de Acceso total al disco se creó para que las copias de seguridad funcionen, pero que hoy "algunos desarrolladores lo están usando de formas que pueden poner en riesgo a los usuarios, exponiendo todo en sus sistemas —archivos, correo, mensajes e incluso historial de navegación— sin que el usuario tenga pleno conocimiento".

El comunicado no nombra a Meta, pero describe el patrón con precisión quirúrgica. Apple anuncia que en adelante "introducirá controles adicionales para garantizar que los usuarios que genuinamente deseen conceder a una app este nivel extraordinario de acceso solo puedan hacerlo con una acción muy explícita". Y remata: "A medida que los agentes de IA se vuelvan más capaces y autónomos, los riesgos asociados a este nivel de acceso crecerán sustancialmente".

9to5Mac confirma que la decisión responde directamente a la popularidad creciente de Meta Muse y de Dots, el agente de OpenAI, y a casos como el de Aten. Apple no ha detallado todavía cómo se materializarán los nuevos controles: si lo hará a través de diálogo bloqueante, si exigirá re-autenticación periódica, o si pasará a un modelo de permisos granulares. Es lo que falta por ver.

Por qué importa más allá de Muse

Lo de Muse no es un caso aislado, y Apple lo sabe. La propia compañía apunta a que el problema es estructural: los agentes de IA necesitan permisos amplios para ser útiles, y la mayoría de usuarios no entiende qué están aceptando cuando hacen clic en "Permitir".

Hay tres aristas que un founder debe tener en el radar:

El vector ChatGPT para Mac. Wired reportó que expertos de seguridad hallaron una vulnerabilidad en la app de escritorio de OpenAI que podía permitir a un atacante leer el historial de conversaciones y otros archivos almacenados. El incidente completo aún no está cerrado, pero confirma que el problema no es solo de Meta.
El modelo "always-on". Muse se presenta como un agente que sigue trabajando después de cerrar la app y que actúa en nombre del usuario en correo, mensajes y compras. Cada nuevo conector multiplica la superficie de ataque.
La confianza rota. Un fallo percibido —aunque Meta lo niegue— en el flagship de IA de la mayor red social del mundo deteriora la categoría entera. Si los usuarios empiezan a temer a todos los agentes, los productos legítimos pagan el pato.

¿Qué significa esto para tu startup?

Si estás construyendo un producto B2C con agente de IA, tienes que tomar nota porque el marco regulatorio y de plataformas se está endureciendo:

Audita tu flujo de consentimiento hoy. Si tu app pide Acceso total al disco, Acceso a la cámara o Acceso a Mensajes en macOS/iOS, documenta cada paso en lenguaje plano. Un modal genérico de "Permitir" ya no va a bastar cuando Apple empiece a aplicar lo que anuncia.
Mueve la lógica sensible a confirmaciones explícitas. Borrar un archivo, enviar un mensaje o realizar una compra deben pasar por un prompt humano inequívoco. Es lo que Meta dice que hace Muse y, precisamente, lo que Aten cuestiona que se cumpla. Si tú lo haces verificable (con logs del lado del cliente), reduces la superficie de litigio.
Piensa en sandboxes más pequeños. El modelo de Muse, una VM segura con 8 GB de memoria y 8 GB de almacenamiento, apunta a la dirección correcta: ejecutar el agente en un entorno con acceso limitado al sistema, no a pantalla completa sobre el SO del usuario. Si tu arquitectura ya corre así, es un argumento de venta real frente a competidores que solo embeben el modelo en un chat.
Prepara una respuesta a incidentes. Ten un canal directo con tu CISO, una página pública de arquitectura de seguridad y un programa de bug bounty. Singleton de Meta señaló la página de seguridad de Muse como prueba de seriedad: ese es el nuevo mínimo.