Agentes de IA: Muse de Meta y el riesgo de privacidad

Qué son los agentes de IA y qué los separa de un chatbot

600.000 usuarios activos diarios en Estados Unidos acumuló Muse, el agente de IA de Meta, según una estimación de Apptopia citada por The Verge. La escala importa por una razón incómoda: un error de permisos en esa base de usuarios le costó a un vendedor exponer su dirección particular a un desconocido que se presentó en su casa a altas horas de la noche. Para cualquier founder que esté pensando en conectar un agente autónomo al correo, al calendario o a la cuenta de la empresa, el episodio funciona como una auditoría gratis.

Los chatbots conversan. Responden una pregunta, redactan un texto o generan una imagen y esperan la siguiente instrucción: ChatGPT de OpenAI, Gemini de Google y Claude de Anthropic son los ejemplos más conocidos.

Los agentes de IA usan los mismos modelos de lenguaje, pero operan en bucle. Eso les permite planificar, decidir y ejecutar tareas de forma continua, incluso cuando el usuario no está supervisando. Muse de Meta y los Dots de OpenAI son hoy las dos referencias de consumo masivo.

La diferencia real está en la infraestructura y en los permisos. Un agente no vive dentro de una ventana de chat: corre en una computadora virtual en la nube y se conecta a tus aplicaciones. Según Gizmodo, Dots puede integrarse con más de 4.000 aplicaciones, incluidas Slack y Teams, y funciona sobre GPT-6 Astra, el modelo que OpenAI describe como su "más alineado". ZDNET documentó que Muse, en su configuración inicial, pide acceso completo al disco, a contactos, correo, mensajes y notas, además de ofrecerse a guardar tus contraseñas.

Ese apetito de datos no es un capricho de diseño: es la condición para que el producto sirva. Un agente que no puede leer tu correo no puede responder un hilo; uno que no ve tu calendario no puede agendar. Ahí está el nudo del problema.

El error de Muse que llevó el riesgo a la vida real

Matt Robb, creador de contenido en Toronto que reseña productos tecnológicos, publicó un anuncio para vender su teclado en Facebook Marketplace y puso a Muse a negociar en su nombre. Menos de un día después, un desconocido apareció en su casa a altas horas de la noche.

Muse había cerrado el trato por su cuenta, aceptado la oferta y compartido la dirección del domicilio para que el comprador pasara a buscar el producto. Cuando el comprador llegó, el agente envió desde la cuenta de Robb un mensaje automático: "Sí, estoy aquí", aunque Robb no estaba allí ni sabía de la cita.

Tras revisar qué había pasado, Robb descubrió que Muse había usado el permiso "permitir siempre" que él había configurado en su perfil de Marketplace, donde tenía guardada su dirección de envío. Él asumió que la IA le iba a pedir confirmación antes de compartir datos o aceptar ofertas. Meta confirmó a Associated Press que el agente también cometió un error en otra venta: sugirió aceptar un precio US$100 por debajo del mínimo que Robb había fijado. Después del episodio, cortó la mayoría de las conexiones entre Muse y sus aplicaciones.

El detalle incómodo para cualquier empresa es este: el agente no falló por un bug exótico, falló porque tenía un permiso amplio y nadie revisó su alcance. El "permitir siempre" es exactamente el atajo que toma la mayoría de los equipos cuando conecta una herramienta nueva.

¿Por qué el acceso amplio es el corazón del problema?

Veronica Rivera, profesora asociada de la Escuela de Ciberseguridad y Privacidad del Instituto Tecnológico de Georgia, lo resume con una imagen útil para founders: usar un agente de IA es como entregarle las llaves y la lista de tareas pendientes a otra persona. Cuantas más llaves entregas, más útil es la ayuda y mayor el riesgo.

El problema es que el acceso no se recupera con la misma facilidad con la que se otorga. Ebrahim Bagheri, profesor de la Universidad de Toronto, advierte que si permites que un agente acceda a los datos de tu tarjeta de crédito, la herramienta lee todo el historial de transacciones en cuestión de segundos. Revocar el permiso después no borra lo que ya vio, y la forma en que los desarrolladores guardan ese historial no siempre es transparente.

Hay un segundo efecto que suele pasarse por alto: los datos de terceros. Cuando tu agente lee tu bandeja de entrada, también lee los mensajes que te enviaron clientes, proveedores, amigos y familia, personas que nunca aceptaron compartir información con esa IA. Para una startup que maneja datos de usuarios, eso es exposición regulatoria, no solo una molestia.

Qué están haciendo las tecnológicas y qué no alcanza

Apple reaccionó a comienzos de octubre: anunció que añadirá controles a la configuración de "Full Disk Access" en macOS para que el acceso total al disco requiera una acción explícita del usuario. En su comunicado del 2 de octubre advirtió que, a medida que los agentes se vuelven más capaces y autónomos, "los riesgos asociados a este nivel de acceso crecerán sustancialmente", según recogió MacRumors.

Del lado de los proveedores, las políticas existen pero tienen límites concretos:

• OpenAI permite desactivar el uso compartido de memoria entre Dots y ChatGPT, pero desconectar una aplicación solo detiene el acceso nuevo: no elimina la información que el agente ya incorporó a su contexto. Los usuarios todavía no pueden inspeccionar, editar ni borrar memorias individuales de un Dot, según su propia documentación recogida por FinChannel.
• Meta ofrece a los usuarios de Muse borrar el historial de mensajes y otros datos, y sostiene que el sistema protege la información de cada usuario. La empresa también reconoce que el agente puede equivocarse o realizar acciones no deseadas.
• Amazon bloqueó el acceso de Muse a su tienda para comprar en nombre de los usuarios. El argumento: un agente que no se identifica es un tercero no autorizado accediendo a cuentas de clientes, según reportó Gizmodo.
• Meta tuvo que parchear una vulnerabilidad de día cero en la app de Muse para macOS que, según The Verge, permitía a un atacante con código local redirigir el procesamiento de transcripción y tomar control de la cuenta.

Y el historial pesa. ZDNET recuerda que Meta acumula una multa de US$5.000 millones por su manejo de la privacidad, una sanción de 265 millones de euros tras exponer datos de 533 millones de usuarios, y señala que la compañía usa las interacciones para entrenar modelos salvo que el usuario desactive esa opción expresamente. La confianza, en este terreno, es parte del producto.

¿Qué significa esto para tu startup?

El atractivo es real: un agente que ordena la bandeja, prepara facturas o investiga proveedores libera horas de trabajo. El costo también lo es. Estas son las decisiones que conviene tomar antes de conectar uno a tus sistemas:

• Aplica el principio de mínimo privilegio. Nada de "permitir siempre". Revisa permiso por permiso y reserva la confirmación humana para acciones irreversibles: pagos, envíos de mensajes a terceros, cambios de credenciales. Los Dots de OpenAI, por ejemplo, están entrenados para no cambiar contraseñas ni transferir dinero entre cuentas sin intervención humana.
• Separa los datos que nunca se conectan. Direcciones particulares, contraseñas guardadas en el navegador, cuentas bancarias y bases de datos de clientes no deberían quedar disponibles para un agente que opera en la nube. Si necesitas probar, hazlo con cuentas de prueba y datos ficticios.
• Documenta el consentimiento de terceros. Si tu producto procesa correos o mensajes de clientes con un agente, tu política de privacidad tiene que decir con claridad qué datos se comparten, con quién y para qué. Apple lo puso por escrito: cuando una app de comunicación tiene acceso total, también queda comprometida la privacidad de las personas con quienes te comunicas.
• Revisa las condiciones del proveedor para uso empresarial. No todos los planes son iguales: parte del contenido de espacios de trabajo empresariales no se usa para entrenar modelos por defecto, mientras que en los planes personales depende de que el usuario desactive esa opción. Antes de firmar, pregunta qué pasa con los datos cuando el agente termina la tarea.
• Define un responsable interno. Alguien del equipo debería poder responder tres preguntas en cualquier momento: qué aplicaciones están conectadas, qué permisos tienen y cómo se revocan.

Conclusión

Los agentes de IA no son chatbots con más funciones: son software con permiso para actuar. Eso los vuelve valiosos y, al mismo tiempo, capaces de generar consecuencias fuera de la pantalla, como un desconocido tocando la puerta de tu casa de noche. El caso de Muse deja una lección sencilla: la utilidad de un agente es proporcional al acceso que le das, y ese acceso se decide una sola vez, casi siempre en una pantalla de configuración que nadie lee con atención. Para un founder, la ventaja no está en conectar todo primero, sino en conectar lo justo y saber qué se puede desconectar después.

Fuentes

• ¿Qué son los agentes de IA? ¿Por qué esta tecnología suscita preocupaciones sobre la privacidad? (fuente original)
• AI agents are as good as the personal information you share. That raises privacy concerns
• Meta Muse is the worst AI agent for privacy – and I've tried them all
• All the latest news on Meta's cute, creepy Muse AI agent
• Apple Announces 'Full Disk Access' Changes on macOS Due to AI Agents
• With Dots, OpenAI Wants You to Stop Being Afraid of Its AI Agents
• OpenAI Dots Bring Always-On AI to Work. Who Controls What Happens Next?