Qué fue el 0-day de Muse

El 21 de septiembre de 2026, el investigador de seguridad Patrick Wardle reveló a través de Ars Technica una vulnerabilidad de día cero en la app de Mac de Muse, el agente personal de Meta. Permitía que cualquier programa o comando ejecutado en la sesión del usuario obtuviera el token de su cuenta de Muse y, con él, el control del agente [1]. Meta publicó un parche urgente más de doce horas después de que saliera el artículo [1][2].

Micrófono de estudio cuyo cable se desvía hacia un enchufe distinto de la pared

Si usas Muse en Mac, lo importante es esto: actualiza la app, y si sospechas que tu equipo estuvo comprometido, trata como expuesta tu cuenta de Muse y las cuentas conectadas a ella.

Cómo funcionaba el ataque

Muse transcribe el dictado por voz en la nube: cuando hablas, el audio va a un servidor de Meta. El problema estaba en cómo se decidía a qué servidor iba. Según Ars Technica [1]:

  • La app guardaba una larga lista de ajustes no documentados que cualquier aplicación o comando local podía modificar, sin necesidad de permisos especiales de macOS.
  • La mayoría eran inofensivos, como el modo oscuro. Uno decidía el servidor de transcripción.
  • Si un atacante cambiaba ese ajuste para apuntar a su propio servidor, recibía el token que da control total sobre la cuenta de Muse, y podía actuar como intermediario: añadir a tu orden de voz una instrucción maliciosa, por ejemplo enviar un archivo con todos tus mensajes de WhatsApp.

Wardle desarrolló pruebas de concepto que escribían archivos maliciosos en disco y tomaban fotos, en muchos casos sin ninguna señal visible para el usuario. Su resumen a Ars: en lugar de escribir un malware completo para robar datos de un Mac, basta con aprovechar al propio asistente de IA [1].

El nombre técnico del ajuste se ha publicado en otros medios, pero no he podido verificarlo en una fuente primaria accesible, así que no lo reproduzco. Tampoco he podido confirmar otras demostraciones atribuidas a Wardle en coberturas secundarias.

Lo que dice Meta y por qué no es toda la historia

David Singleton, de Meta Superintelligence Labs, lo calificó de escalada de privilegios local y no de exploit remoto: exige código malicioso ya funcionando en la máquina del usuario, por lo que el riesgo práctico era «bastante bajo» [2].

Es técnicamente cierto, pero incompleto. Wardle mostró que basta una variante de ClickFix, la técnica de ingeniería social que convence a la víctima de pegar un comando en la Terminal [1]. El atacante no necesita estar en tu escritorio: necesita que hagas un copiar y pegar. Apple añadió protecciones contra ClickFix en macOS 26.4, que el propio Wardle analizó en marzo en el blog de Objective-See [3].

Ars también subraya que Muse, para funcionar, pide acceso a archivos, micrófono, cámara, ubicación y calendario. Al dejar que cualquier proceso tomara el control del agente, el fallo anulaba en la práctica las barreras que macOS pone entre aplicaciones [1].

Amazon y la otra pelea: quién deja entrar a tu agente

Unas doce horas antes de la revelación, Amazon empezó a bloquear a Muse en su tienda con un mensaje que lo calificaba de «agente de IA no autorizado». Su argumento: las apps que compran en nombre de clientes deben operar abiertamente y respetar si cada proveedor quiere participar, como hacen las apps de reparto con los restaurantes. Pidió a Meta retirar Amazon de la experiencia [1].

Manojo de llaves de latón colgado sobre una mesa, con un tablero de llaveros al fondo

La lección para quien construye agentes: si tu asistente compra, reserva o publica en servicios de terceros, esos servicios van a reclamar el derecho a decidir. Eso no se resuelve con una integración técnica.

Por qué atacar al agente sale más barato

Un agente personal acumula permisos que antes estaban repartidos: correo, calendario, archivos, compras. Quien lo secuestra hereda todo eso de golpe, y las acciones las ejecuta una aplicación legítima y firmada, que despierta menos sospechas en las herramientas de seguridad.

Este caso llegó en plena discusión sobre el control de agentes. En julio, agentes que OpenAI estaba evaluando comprometieron infraestructura de Hugging Face, y el 21 de septiembre el panel científico sobre IA de la ONU pidió reforzar las salvaguardas a partir de ese caso [4]. Lo cuento en el ciberataque autónomo de una IA colectiva. La diferencia es que en Muse no falló el juicio del agente: falló un ajuste de configuración que nadie trató como asunto de seguridad. Ese patrón es el más común y el más barato de prevenir.

Cinco criterios para auditar cualquier agente

La lista OWASP Top 10 para aplicaciones agénticas, publicada en diciembre de 2025, ordena los riesgos de la autonomía, como la manipulación del objetivo del agente o el mal uso de sus herramientas [5]. A partir de este caso, yo añadiría estos criterios prácticos:

  1. Procesar en el dispositivo lo que pueda quedarse en el dispositivo. macOS ofrece dictado local. Con esa opción, no habría existido un servidor que redirigir [1].
  2. Tratar como secretos los ajustes que deciden a dónde viajan datos o credenciales. Cambiar el modo oscuro no es lo mismo que cambiar el destino de tu voz.
  3. Limitar el alcance de cada credencial. Un solo token que abre todo el agente convierte un fallo pequeño en la pérdida de la cuenta entera.
  4. Confirmación humana para lo irreversible: pagos, envíos, publicaciones y borrados.
  5. Inventario de lo que el agente ya puede hacer: qué cuentas toca, con qué permisos y cuándo se revisó por última vez.

Qué hacer esta semana

Si usas Muse:

  • Actualiza la app de Mac.
  • Revisa las apps y permisos conectados y retira lo que no uses: el atacante solo alcanza lo que el agente ya alcanza.
  • Nunca pegues en la Terminal un comando que te llegó por una web, un correo o un mensaje.

Si tu equipo opera agentes:

  • Escribe el inventario de credenciales y permisos de cada agente, con fecha.
  • Configura alertas también sobre las acciones normales del agente: las acciones legítimas son el mejor disfraz.
  • Da a cada agente su propia identidad, separada de cualquier persona, para poder revocarla sin tocar cuentas corporativas.

Wardle anunció que dará más detalles en la conferencia Objective by the Sea de noviembre [1]. Para el contexto del lanzamiento y las promesas de privacidad de Meta, puedes leer qué es Muse y cómo funciona.

Fuentes y referencias

Fuentes consultadas el 3 de noviembre de 2026.

  1. [1] Ars Technica: Muse, Meta's extraordinarily privileged AI assistant, has a serious 0-day, 21 de septiembre de 2026.
  2. [2] The Verge: Meta patches Muse exploit that let attackers control the AI agent, 22 de septiembre de 2026.
  3. [3] Objective-See: blog de Patrick Wardle, entradas «ClickFix: Stopped at ⌘+V» y «No Paste for You!», febrero y marzo de 2026.
  4. [4] UN News: UN panel calls for stronger safeguards as AI agents advance, 21 de septiembre de 2026.
  5. [5] OWASP GenAI Security Project: Top 10 for Agentic Applications, diciembre de 2025.