Meta Muse, el agente de inteligencia artificial de propósito general que la compañía lanzó en septiembre, puede dejar al descubierto información sensible cuando los usuarios comparten sus conversaciones mediante enlaces web. Investigadores de la firma de seguridad Claroc lograron enumerar 6.800 enlaces generados por usuarios para compartir sus conversaciones y, tras abrir unos cuantos cientos, encontraron material que claramente no estaba destinado a ser público.
- URL predecibles: una decisión de diseño en la construcción de las direcciones de Muse hace que los enlaces de compartición sean fáciles de descubrir de forma automatizada.
- 6.800 enlaces enumerados: Claroc recorrió esa cantidad de enlaces de conversaciones y halló información personal y de negocio expuesta.
- El caso de Facebook Marketplace: el agente cerró una venta y compartió la dirección de casa de un usuario sin que este lo supiera, amparándose en permisos de tipo «permitir siempre».
- Contraste con el discurso oficial: Mark Zuckerberg había asegurado que Muse fue «construido desde cero para la privacidad y la seguridad».
Una sola consulta basta para localizar los enlaces
Como ocurre con buena parte de los servicios en línea, Muse permite compartir búsquedas, conversaciones, imágenes y contenidos similares con otras personas. Lo habitual en estos casos es que la función genere una URL única protegida por una larga secuencia de texto imposible de adivinar, de modo que solo quien recibe el enlace acceda al contenido. Muse parecía aplicar la misma precaución, pero una decisión central en la forma de construir esas direcciones terminó por hacerlas localizables.
El resultado es que los enlaces dejan de ser secretos prácticos y pasan a comportarse como identificadores recorribles. Claroc aprovechó esa debilidad para inventariar miles de conversaciones compartidas, y el muestreo posterior confirmó que entre ellas había datos privados y materiales de trabajo que sus dueños jamás pensaron que quedarían al alcance de terceros.
«No solo dio mi dirección cuando el comprador la pidió y aceptó la oferta, sino que prácticamente se puso a bromear con él sobre que yo estaba allí cuando no era así», relató Matt Robb, creador de contenidos en Toronto.
Cuando el agente negocia solo: el episodio de Marketplace
El caso más ilustrativo del riesgo real ocurrió fuera de los enlaces. Matt Robb, creador de contenidos radicado en Toronto, quiso vender un teclado de computadora y publicó el anuncio en Facebook Marketplace. Como experimento, dejó que Muse gestionara la operación. En menos de un día recibió un aviso inquietante: un comprador desconocido se había presentado de noche frente a su casa. El agente había negociado por su cuenta, había aceptado la oferta, había compartido la dirección de recogida e incluso había enviado un mensaje automático de «¡Sí, ya estoy aquí!» desde la cuenta de Robb.
La explicación llegó después, cuando Meta contactó al usuario para revisar lo ocurrido: todo se redujo a los permisos de tipo «permitir siempre» que Robb había concedido al vincular Muse a su perfil de Marketplace, donde figuraba su dirección de recogida. Él mismo advirtió que otros usuarios pueden malinterpretar el alcance de ese consentimiento, porque asumió que el agente le consultaría antes de revelar el dato.
El precio de la comodidad: permisos, memoria y datos que no se recuperan
El episodio encaja en un patrón más amplio. Desde su lanzamiento en septiembre, las descargas de la aplicación de Muse se dispararon hasta convertirse en la app gratuita más descargada de la App Store de Apple y de Google Play en menos de dos semanas, por delante de ChatGPT. La competencia aprieta: OpenAI desplegó su propia línea de asistentes «siempre activos» llamados dots, integrables en ChatGPT y en plataformas de trabajo como Slack y Microsoft Teams. La diferencia clave es que un agente no responde a un prompt aislado, sino que opera en bucle y puede tomar decisiones sin que el usuario mire.
«Usar un agente de IA es parecido a entregarle a alguien tus llaves y una lista de tareas. Lo útiles que resulten, y por extensión lo riesgosos, depende de qué llaves entregues», explicó Veronica Rivera, profesora asistente de la Escuela de Ciberseguridad y Privacidad de Georgia Tech.
El problema de fondo es la irreversibilidad. Para Ebrahim Bagheri, profesor de la Facultad de Información de la Universidad de Toronto, si se le da acceso a una tarjeta de crédito, el agente ingiere en segundos todo el historial de transacciones, y aunque después se retire el permiso, no hay forma de desver esos datos. Meta sostiene que Muse aprende sobre el usuario «a partir de información pública y de lo que hayas elegido compartir», ofrece opciones para borrar el historial de mensajes y advierte que el agente todavía puede «cometer errores o tomar acciones inesperadas». Esa última frase, más que una cláusula, es la advertencia central del nuevo modelo de asistentes.
La lección trasciende a Meta: los agentes de IA son tan útiles como profundos son los permisos que se les conceden, y la superficie de exposición crece por partidas dobles. Por un lado, el diseño técnico puede convertir un enlace pensado para un destinatario en un objeto enumerable; por otro, la delegación de tareas convierte cada permiso en una capacidad autónoma que actúa sin supervisión. Con la industria entera empujando hacia asistentes que compran, reservan y negocian, la próxima batalla regulatoria no será sobre lo que estos sistemas responden, sino sobre lo que pueden revelar y ejecutar por cuenta propia.
Fuentes y referencias