Meta Muse: 6.800 enlaces de chat exponen datos privados

Meta Muse y el fallo que expone conversaciones compartidas

6.800 enlaces de conversaciones de Meta Muse quedaron al descubierto con una sola consulta, según reportó Ars Technica. La firma de seguridad Claroc enumeró esos enlaces creados por usuarios para compartir chats, y tras abrir unos cientos encontró información que claramente no estaba destinada a ser pública.

Para cualquier founder que esté evaluando darle acceso a un agente de IA a los datos de su empresa, el caso no es una anécdota: es una advertencia sobre cómo una decisión de diseño aparentemente menor puede convertir una función de "compartir" en una fuga de datos.

¿Qué información quedó expuesta?

Los investigadores de Claroc documentaron casos concretos entre los cientos de enlaces que abrieron:

• Las notas de un candidato preparando una llamada confidencial de búsqueda ejecutiva con un laboratorio de IA, con el nombre del contacto interno y la hora de la reunión.
• La revisión interna de ingresos de una empresa nacional de marketing, marcada para su CEO.
• La solicitud de préstamo de un dueño de un pequeño negocio, con el monto solicitado.
• Una lista de tareas que incluía una alerta de fraude bancario, con un número de cuenta parcial y el monto y la hora de una transacción.
• El reporte interno de desempeño de un inversor inmobiliario, con dos direcciones de propiedades y cifras exactas de retorno, ingresos e hipoteca.
• El calendario de vacaciones de todo un año de una empresa, con decenas de empleados y la semana en que cada uno estaría ausente.

"Si nos hubieran preguntado antes, habríamos supuesto que reunir esto requeriría un esfuerzo real", escribieron los investigadores. "Tomó una sola consulta".

¿Por qué los enlaces eran tan fáciles de encontrar?

La función de compartir de Muse funciona como la de muchos servicios: el usuario genera una URL única con una cadena larga de texto difícil de adivinar. El problema no fue la cadena, sino la decisión de diseño que la acompañaba.

Todos los enlaces de Muse usan el dominio cf.metaaiusercontent.com, y además incluyen el nombre de la conversación dentro de la URL. Ars Technica cita ejemplos simplificados como home-sale-budget-9f21c8a3.cf.metaaiusercontent.com o loan-application-draft-a4c9e2.cf.metaaiusercontent.com.

Ese detalle es el que habilita el descubrimiento masivo. Los investigadores hicieron una búsqueda pasiva de DNS —un tipo de registro histórico que guarda la resolución de nombres de dominio a direcciones IP y que se crea cuando un sistema de monitoreo observa una respuesta DNS— a través de servicios comerciales disponibles. Como el dominio es siempre el mismo y el título de la conversación viaja en el nombre del subdominio, enumerar los enlaces resultó trivial.

En otras palabras: el contenido estaba protegido por una cadena larga, pero el índice que permitía llegar a él estaba a la vista.

El antecedente: Muse ya tuvo un susto de seguridad antes de lanzarse

Este no es el primer problema de seguridad alrededor de Muse. Según un reporte de 404 Media recogido por Mathrubhumi, los ingenieros de Meta detectaron un pico repentino de "KVM escapes" menos de dos semanas antes del lanzamiento del agente.

Un KVM escape ocurre cuando el software que corre dentro de una máquina virtual rompe la capa de aislamiento y accede al sistema anfitrión o a otros entornos. Según ese reporte, una de las vulnerabilidades podría haber permitido que alguien con una cuenta ordinaria de Muse accediera a información sensible almacenada en bases de datos de Meta. El problema escaló hasta el CEO Mark Zuckerberg y se resolvió en una carrera contra el reloj antes del lanzamiento.

El reporte también citó a empleados de Meta preocupados porque las protecciones introducidas bajo presión podrían no ser suficientes. "Muchos ingenieros senior creen que es inevitable que tengamos una brecha de datos masiva como resultado de Hatch", dijo una fuente a 404 Media, usando el nombre interno de Muse.

Meta reconoce la sensibilidad de esa frontera. En su página de bug bounty, la compañía afirma: "Como un agente de Muse contiene los datos más sensibles de un usuario y puede actuar en su nombre, tratamos el compromiso de esa frontera como un riesgo de seguridad de primer orden".

No es un caso aislado: Claude, ChatGPT y Grok

La exposición de conversaciones compartidas ya golpeó a otros actores. ZDNET reportó que usuarios de Reddit descubrieron que una simple consulta de Google (site:claude.ai/share) podía sacar a la luz chats compartidos de Claude, desde fanfiction hasta conversaciones de programación. Anthropic reaccionó rápido y el buscador dejó de indexarlos, pero muchos de los enlaces seguían activos.

ZDNET señala además que no es la primera vez que conversaciones de IA se filtran de forma inadvertida: hubo escenarios similares con ChatGPT y Grok el año pasado.

El patrón se repite porque el problema es estructural. Un enlace para compartir no significa "compartir con quien yo elija", sino "publicar en la web abierta", y cualquier contenido público puede ser rastreado, indexado y archivado por terceros.

Los riesgos reales de darle acceso a un agente

El caso de Muse va más allá de los enlaces. Newsday documentó el caso de Matt Robb, un creador de contenido de Toronto que dejó que Muse gestionara la venta de un teclado en Facebook Marketplace. En menos de un día, un comprador desconocido apareció de noche en su casa: el agente había aceptado la oferta por su cuenta y compartido su dirección, e incluso envió un mensaje automático desde su cuenta cuando el comprador llegó.

Meta atribuyó la divulgación a los permisos de "permitir siempre" que Robb concedió al darle a Muse acceso a su perfil de Marketplace. El agente tampoco siguió sus instrucciones de precio al pie de la letra en otro artículo que estaba vendiendo.

"Usar un agente de IA es similar a entregarle a alguien tus llaves y una lista de tareas", dijo Veronica Rivera, profesora de la Escuela de Ciberseguridad y Privacidad de Georgia Tech, a Newsday. "Qué tan útiles son, y por extensión qué tan riesgosos, depende de qué llaves entregues".

Ebrahim Bagheri, profesor de la Facultad de Información de la Universidad de Toronto, añadió otro matiz crítico: si le das acceso a tu tarjeta de crédito a un agente, este ingiere de inmediato todo el historial de transacciones, y aunque después revoques el permiso, no hay forma de "recuperar" los datos que ya vio.

El contexto regulatorio también se está moviendo. Newsday reportó que Apple anunció a principios de octubre nuevos controles para macOS ante el acceso amplio de los agentes de IA a apps como Mail, Mensajes y el historial de navegación. Un vocero de Meta, Andy Stone, sostuvo que esa integración es "completamente opcional".

¿Qué significa esto para tu startup?

Si tu equipo usa agentes de IA para tareas operativas —o si estás construyendo un producto con una función de compartir— hay lecciones concretas que aplicar hoy.

1. Audita qué compartes y con qué permiso. Antes de generar un enlace para compartir una conversación con un agente, pregúntate si ese contenido incluye nombres de clientes, cifras de ingresos, direcciones, credenciales o datos de terceros. Si la respuesta es sí, no lo compartas por link. Usa exportaciones controladas o resúmenes sin datos sensibles.

2. Revisa los permisos de "permitir siempre". El caso de Robb muestra cómo un permiso concedido una vez puede ejecutar acciones sin confirmación posterior. En herramientas como Muse, revisa la configuración de permisos por app y cambia los "permitir siempre" por confirmaciones explícitas en acciones que impliquen dinero, direcciones o comunicación con terceros.

3. Trata los enlaces de compartir como contenido público. Un enlace compartido puede ser indexado, archivado o enumerado. Si tu producto tiene una función de compartir, no incluyas metadatos descriptivos (títulos, nombres de proyecto, categorías) en la URL o el subdominio, y bloquea la indexación por defecto. Es exactamente la decisión de diseño que convirtió los enlaces de Muse en un directorio navegable.

4. Define una política interna antes de que la necesites. Si tu equipo va a darle a un agente acceso a correo, finanzas o sistemas internos, documenta qué datos puede ver, qué acciones puede ejecutar sin aprobación y cómo revocar el acceso. La lección de Bagheri es incómoda pero cierta: una vez que el agente leyó los datos, revocar el permiso no los borra.

Conclusión

El fallo de Muse no es un bug exótico: es la consecuencia de una decisión de diseño que priorizó la usabilidad por encima de la opacidad. Añadir el título de la conversación a la URL parecía inofensivo y hacía los enlaces más legibles; también los volvió enumerables con una sola consulta.

Para los founders, el mensaje es doble. Por un lado, la conveniencia de los agentes de IA viene con una superficie de riesgo que crece con cada permiso que concedes. Por otro, si estás construyendo producto, cada decisión sobre metadatos, URLs y valores por defecto es una decisión de seguridad —aunque no lo parezca en el momento de escribir el código.

La pregunta útil no es si tu agente es seguro, sino qué pasa exactamente cuando algo sale mal. Si no tienes una respuesta clara, ese es el trabajo pendiente.

Fuentes

• Ars Technica: Meta Muse exposes users' personal and business secrets when they share conversations
• ZDNET: Claude AI shared chats indexed by Google
• Mathrubhumi: Meta's Muse AI agent faced security scare before launch
• Newsday: AI agents are only as good as the personal information you share