Apple y el futuro de los hackers: los agentes de IA reescriben macOS

El Mac Mini que lo cambió todo

El analista Ben Thompson, fundador de Stratechery, tenía un Mac Mini siempre encendido cuyo único trabajo era ejecutar Claude Code y Codex como agentes persistentes. Una mañana ese agente le envió una notificación urgente: su cuenta ahora podía ejecutar comandos de administrador sin contraseña, alguien había escrito archivos en su sistema y la máquina estaba comprometida. Thompson había sido hackeado.

La historia, que Thompson relata con detalle en su newsletter, importa por dos razones. Primero, porque el agujero que lo dejó entrar es real, público y está siendo explotado masivamente: la vulnerabilidad CVE-2026-65400 en la función de Screen Sharing de macOS. Segundo, porque fue precisamente la presencia del agente de IA —la tecnología sobre la que Apple está endureciendo sus controles— lo que detectó y ayudó a neutralizar el ataque. La paradoja es incómoda para Cupertino.

CVE-2026-65400: el fallo que Apple parcheó tarde

Según documenta Ars Technica, el NCSC de Países Bajos emitió la alerta NCSC-2026-0280 confirmando que múltiples sistemas con el puerto 5900 accesible desde internet habían sido comprometidos. En todos los casos los atacantes obtuvieron acceso como root e instalaron un minero de Monero. La vulnerabilidad, con severidad 7,1 de 10, reside en el demonio screensharingd: un error en la validación del largo de los frames hace que el sistema devuelva un estado de autenticación obsoleto y conceda la sesión sin verificar credenciales, según el análisis técnico de Huntress.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

El detalle técnico más relevante para founders no es el exploit en sí, sino lo que habilita después. Como explica la cobertura de TechTimes, el proceso SSFileCopySender que ayuda a Screen Sharing lleva la entitlement firmada por Apple kTCCServiceSystemPolicyAllFiles, que concede acceso total al disco y esquiva TCC (Transparency, Consent and Control). Es decir: cualquier atacante que cruce la puerta del SRP hereda, gratis, permisos de alto privilegio.

El parche de emergencia llegó el 6 de agosto de 2026 con macOS Tahoe 26.6.1, Sequoia 15.7.9 y Sonoma 14.8.9. Solo cuatro horas después, la firma Calif.io ya tenía un exploit funcional. El 8 de agosto publicó el PoC en X. El 12 de agosto, el NCSC confirmó la explotación activa. De código público a intrusiones confirmadas: cuatro días. Escaneos de Censys citados por Huntress estimaban decenas de miles de Macs con el puerto 5900 expuesto en el momento de la divulgación.

El agente de IA como firewall personal

Thompson usó a Claude para encontrar la ventana exacta de cuatro segundos por la que entró el atacante, crear un monitor que detecte el patrón en el futuro y finalmente borrar y reconstruir el Mac Mini. Todo antes de leer el artículo de Ars Technica que explicaba el CVE.

La historia es notable porque contradice el relato dominante: "no le des acceso total a un agente a tu máquina". Aquí, un agente con shell completo, permisos de root y ejecución continua fue lo que diferenció un susto controlable de un incidente grave. La pregunta que Thompson deja flotando es incómoda: si el atacante hubiera tenido más tiempo sin un agente vigilante supervisando logs, ¿qué otras cosas habrían escrito en esa máquina?

Apple contra los agentes: TCC y Full Disk Access

Casi al mismo tiempo del hackeo, Apple publicó en su sitio de desarrolladores una nota titulada "Updates to Full Disk Access in macOS" que admite textualmente: "A medida que los agentes de IA se vuelvan más capaces y autónomos, los riesgos asociados a este nivel de acceso crecerán sustancialmente. Estamos comprometidos a garantizar que los usuarios entiendan claramente estos riesgos antes de concederlo".

Apple tiene dos problemas estructurales que el caso Thompson hace visibles:

TCC opera al nivel equivocado de abstracción. Los agentes crean subprocesos todo el tiempo. Cada nuevo binario dispara un prompt de permiso nuevo. En un Mac headless accedido por SSH eso significa que el agente falla silenciosamente y nadie lo sabe.
Los prompts de TCC son invisibles para el software. Viven en un espacio protegido al que ni los agentes pueden acceder. El workaround de Thompson —abrir Screen Sharing desde el celular para hacer clic en "OK"— es exactamente el mismo vector que lo expuso al ataque. Un círculo vicioso.

La crítica de fondo no es sobre privacidad sino sobre quién controla la capa de automatización. Apple invirtió décadas en APIs de accesibilidad, scripting y Unix certificado, que vuelven a macOS un host ideal para agentes. Pero cada versión del sistema operativo añade más controles que ese mismo modelo no puede tocar.

El nuevo capítulo: el smart home hub J490

Mientras tanto, el 13 de octubre de 2026 Apple presentará su esperada entrada al smart home, según reportó Mark Gurman en Bloomberg y replicaron iDropNews y MacDailyNews. El dispositivo, con nombre código J490, será una pantalla cuadrada de unas 6 pulgadas con versiones de escritorio (estilo iMac G4 de 2002) y de pared (J491). Se anunciarán también la primera actualización del HomePod mini desde 2020 y un nuevo Apple TV 4K desde 2022.

Es el primer movimiento de categoría del nuevo CEO John Ternus, en el cargo desde el 1 de septiembre de 2026. La estrategia depende de Siri AI, la versión renovada del asistente que llegó con iOS 27. Reconocimiento facial y de voz personalizarán la interfaz para cada miembro del hogar.

Thompson, sin embargo, dice estar exactamente al revés de entusiasmado. Y aquí viene la tesis fuerte del ensayo: cuando un agente de IA puede descompilar casi cualquier software y escribir el propio, la pregunta deja de ser "¿qué API me ofrece el fabricante?" y pasa a ser "¿puedo construir yo la integración que quiero?". El jardín amurallado se siente menos como protección y más como prisión.

Meta y Muse Gadgets: el contraataque abierto

La pieza que faltaba en el argumento llegó el 2 de octubre de 2026, cuando Nat Friedman, líder de producto en Meta Superintelligence Labs, anunció Muse Gadgets: firmware para ESP32 y un SDK de Linux bajo Apache 2.0 que permite construir dispositivos hardware que se conectan al agente Muse de Meta. El repositorio está en facebookincubator/muse-gadget-sdk, según documenta unite.ai.

Meta también fabricó 5.000 unidades del Muse Home Link, un dispositivo USB-C que conecta Muse a la red del hogar para controlar luces, TVs y cualquier cosa con HTTP. Es gratis para suscriptores de Muse en EE. UU. por orden de llegada. El SDK ya trae integraciones de ejemplo para Home Assistant y muestra ideas de proyecto: desde un Waveshare ESP32 con pantalla AMOLED redonda hasta un stick HDMI para el televisor, pasando por un display E Ink de Seeed para briefings matutinos.

La diferencia estratégica es clara. Apple intenta que su hub sea el centro del hogar mediante una pila cerrada que depende de fabricantes terceros. Meta tira el código a la comunidad y deja que los hackers decidan qué construir. Si la historia de Thompson es correcta —"lo que los hackers hacen hoy, todos lo harán en diez años"—, entonces Muse Gadgets está sembrando el futuro del hogar inteligente exactamente donde Apple decidió no entrar.

Qué significa esto para tu startup

Tres acciones concretas para founders que usan infraestructura Apple o están pensando en su próximo host para agentes:

Audita hoy mismo el puerto 5900 en cualquier Mac que tengas expuesto. Si usas Screen Sharing, hazlo exclusivamente detrás de Tailscale o una VPN. No confíes en el firewall del router. Aplica macOS Tahoe 26.6.1 o equivalente sin demora: el exploit lleva semanas disponible públicamente.
Verifica el modelo de parches de tu flota. Apple entrega los fixes de CVE en point releases que el toggle de "instalar actualizaciones de seguridad automáticamente" no siempre toma. Para equipos pequeños, la solución es activar MDM con auto-actualización forzada. Para servidores en rack, asume que el ciclo de parches requiere intervención manual y programa un SLA interno.
Si vas a montar agentes persistentes, decide conscientemente entre Mac, Linux y la nube. Thompson ya compró un servidor Linux para reemplazar el Mac Mini de su rack. Si tu caso de uso es agentes 24/7 con acceso completo, Linux te da visibilidad sobre TCC, scripting de permisos y ausencia de prompts invisibles. Si tu caso es uso humano, Mac sigue siendo excelente. La decisión ya no es religiosa: es de arquitectura.

El caso Thompson es chico y a la vez enorme. Es el hackeo de un Mac Mini específico, pero también la primera grieta visible de un modelo Apple pensado para usuarios de sofá en una era en la que los agentes son el nuevo usuario. La pregunta para 2026 ya no es si los agentes van a operar tu infraestructura. La pregunta es bajo qué reglas.