¿Qué pasó con Muse y por qué Meta pausó el compartir?
Meta suspendió la función que permite compartir conversaciones con Muse, su asistente de IA, después de que investigadores de la firma de seguridad Claroc encontraran más de 6.800 enlaces de chats disponibles públicamente en la web. La compañía confirmó la pausa a The Verge y a Ars Technica, que reportó el caso primero.
"Las personas tienen la capacidad de compartir artefactos específicos de Muse, lo que crea una página a la que puede acceder quien tenga el enlace", dijo la portavoz de Muse, Tracy Clayton, a The Verge. "Sin embargo, hemos pausado esta funcionalidad mientras revisamos este informe y consideramos cambios en cómo se pueden descubrir estos enlaces".
El punto que importa para un founder: no hubo brecha de seguridad ni hackeo. La función hacía exactamente lo que prometía. El problema fue cómo estaba construida la URL.
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días¿Cómo se encontraron los 6.800 enlaces de Muse?
Claroc describió el mecanismo: Muse armaba la dirección web de cada página compartida con el título del share —una frase corta que describe la conversación— más un ID aleatorio. El nombre del host ya anticipaba qué contenía la página antes de abrirla y, como el enlace lleva ese mismo título y ese mismo ID, un hostname extraído del DNS permitía reconstruir el enlace completo.
Con una búsqueda pasiva en registros DNS públicos —el directorio que traduce nombres de dominio a direcciones IP y que ofrecen varios servicios comerciales— los investigadores enumeraron los 6.800 enlaces. Después abrieron unos cientos.
"Si nos hubieran preguntado antes, habríamos supuesto que reunir esto requeriría un esfuerzo real", escribieron los investigadores. "Bastó una consulta".
Asaf Aprozper, cofundador y CTO de Claroc, reportó los hallazgos por el programa de bug bounty de Meta el 8 de octubre y también intentó contactar a personas de la compañía por LinkedIn, sin respuesta por ninguna de las dos vías, según Ars Technica.
¿Qué información quedó al descubierto?
Al abrir unos cientos de enlaces, Claroc encontró material que claramente no estaba pensado para ser público. Entre los ejemplos que documentaron:
- Las notas de un candidato preparando una llamada confidencial de búsqueda de ejecutivos con un laboratorio de IA de frontera, con el nombre del contacto interno y la hora de la reunión.
- La revisión interna de ingresos de una empresa nacional de marketing, marcada para su CEO.
- La solicitud de préstamo de un dueño de pequeño negocio, con el monto solicitado.
- Una lista de tareas que incluía una alerta de fraude bancario, con número de cuenta parcial y el monto y la hora de una transacción.
- El reporte interno de desempeño de un inversor inmobiliario, con dos direcciones de propiedades y cifras exactas de retorno, ingresos e hipoteca.
- El calendario anual de vacaciones de una oficina, con decenas de empleados y la semana en que cada uno estaría fuera.
Ninguno de esos documentos se filtró por un ataque. Se filtró porque alguien los compartió con un enlace que resultó ser adivinable.
¿Es la primera vez que pasa? No: ChatGPT, Claude y Grok ya lo vivieron
El patrón se repite. Según BankInfoSecurity, Anthropic ya había enfrentado un episodio casi idéntico en septiembre de 2025, cuando varios cientos de chats de Claude aparecieron en Google antes de desaparecer de los resultados. La misma publicación reporta que un investigador llegó a recopilar cerca de 100.000 conversaciones compartidas de ChatGPT —caso que cubrió 404 Media— y que OpenAI eliminó la opción de búsqueda en julio de 2025, después de que su CISO, Dane Stuckey, la describiera como un experimento de vida corta que generaba demasiadas oportunidades de compartir sin querer.
En agosto de 2025 el turno fue de Grok, de xAI: más de 370.000 conversaciones compartidas quedaron indexadas por Google, según el mismo medio. ZDNET documentó además cómo un simple operador de búsqueda (site:claude.ai/share) exponía conversaciones de Claude, incluidas algunas con información financiera y legal sensible.
La respuesta de las plataformas también se repite. Un portavoz de Google, Ned Adriance, dijo a Wired que los buscadores no deciden qué publican los dueños de los sitios y que Google ofrece controles para definir si una página se rastrea o se indexa. Del lado de Meta, la postura es la misma que la de Anthropic: el enlace solo lo ve quien lo tiene.
¿Qué significa esto para tu startup?
Hay una lección de producto y una de operación.
La de producto es que "solo quien tiene el enlace" no es una política de privacidad, es una descripción de la URL. Si el enlace es enumerable —porque se deriva de un título, de un ID corto o de un patrón predecible— entonces es público, aunque nadie lo haya publicado. Cualquier equipo que construya funciones de compartir debería asumir que sus URLs van a terminar en un registro DNS, en un log o en un índice.
La de operación es más urgente: tu equipo probablemente ya generó enlaces de este tipo y nadie los revisó.
Dos acciones concretas para esta semana:
- Audita los enlaces compartidos de tus asistentes de IA. En Claude, la ruta es Settings > Privacy > Shared Chats > Manage, donde puedes revocar los enlaces activos, según ZDNET. Revisa también si alguien del equipo compartió conversaciones de Muse, ChatGPT o Grok con datos de clientes, ingresos o candidatos.
- Escribe una regla interna antes de que la necesites. Prohíbe compartir conversaciones de IA que contengan datos de clientes, cifras de facturación, contratos, información de candidatos o credenciales. Si necesitas pasar contexto a un colega, exporta, limpia y comparte un resumen, no el hilo completo.
Si estás del lado que construye producto, añade tres chequeos al diseño de cualquier función de compartir: tokens aleatorios largos en lugar de IDs derivados del contenido, noindex explícito en las páginas compartidas y una opción para desactivar el compartir a nivel de workspace, no solo por usuario.
El contexto que agrava el caso
Muse no es un producto marginal. Según TIME, el asistente llegó al número 1 del App Store de Estados Unidos y superó los 5 millones de descargas desde su lanzamiento en septiembre, con más de 4 millones de usuarios. Meta lo presentó como el primer asistente personal de IA capaz de acceder a tu correo, tu Instagram y tus archivos para resolver tareas cotidianas.
Eso es justamente lo que vuelve delicado el episodio: cuanto más contexto personal y de negocio acumula un asistente, más caro sale cada enlace mal diseñado. En el mismo reporte, TIME señala que Meta planea ofrecer cifrado a los usuarios más adelante, una opción que todavía no está disponible. Y el CEO de Meta, Mark Zuckerberg, había dicho el mes pasado que Muse estaba "construido desde cero para la privacidad y la seguridad", según Ars Technica.
Meta, por su parte, abrió un programa de bug bounty para Muse con recompensas de hasta US$300.000, según CryptoBriefing. Es el canal correcto para reportar fallas, y también la señal de que la compañía esperaba este tipo de hallazgos.
Conclusión
La pausa de Meta es la respuesta correcta, pero llega después del hallazgo, no antes. Para un founder, el caso deja una regla simple y difícil de discutir: cualquier función que genere una URL pública es una decisión de privacidad de datos, y las URLs predecibles son un problema de seguridad informática disfrazado de comodidad.
Revisa hoy qué compartió tu equipo, revoca lo que no debería estar accesible y define la política antes de que un investigador —o un competidor— la escriba por ti.
Fuentes
- The Verge (fuente original)
- Ars Technica
- TIME
- BankInfoSecurity
- ZDNET
- CryptoBriefing
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días
